Windows Operating System

Masaüstü Erişimi Sağlanan Bilgisayardan Alınan LSASS Prosesine Ait Dump Dosyasının Mimikatz Aracına Verilerek Parolaların Açık Halinin Elde Edilmesi

Yazarı:

24/02/2015

995

views

Etki alanı sızma testleri sırasında Windows işletim sistemine yetkili erişim sağlandıktan sonra, gerçekleştirilen adımlardan birisi bellek üzerinden parolaların açık halinin elde edilmesidir. Bu amaçla WCE veya Mimikatz gibi araçlar kullanılabilmektedir. Bu yazıda, Windows işletim sistemindeki masaüstü oturumunda LSASS prosesinin dump hali alınacak ve Mimikatz aracı ile parolanın açık hali elde edilecektir.

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

WCE ve Mimikatz araçları temel olarak RAM üzerinde bulunan kimlik doğrulama paketlerindeki (authentication packages) kimlik bilgilerini (şifreli parola ve parola özetlerini, kullanıcı adı gibi) okur, parolayı (ve MSV1_0.dll için parola özetini) şifreleyen şifreleme anahtarını elde eder. Sonrasında ise, şifreli kimlik bilgilerini çözer (deşifre eder). Bu yazıda, DCMakinesi adlı 64 bit mimarideki Windows Server 2008 R2 bilgisayarda yerel yönetici hakları ile masaüstü erişimi sağlanabildiği varsayılacaktır. Masaüstü erişimi sağlandıktan sonra LSASS prosesinin dump dosyası ele geçirilirse, oturumu açık olan veya bir şekilde kimlik doğrulaması gerçekleştiren hesaplara (bu yazı için Administrator, Jale ve Zeynep) ait kimlik bilgileri elde edilebilir. Bu amaçla, öncelikle görev yöneticisi üzerinde LSASS.exe prosesi seçilerek prosesin dump hali alınır.

Eğer bilgisayar uzun süre açık kalmışsa, RAM kapasitesi yüksekse veya başka sebeplerden ötürü bu işlem biraz zaman alabilir.

Dump alma işlemi bittikten sonra, dump dosyasının, işlemi gerçekleştiren hesaba (Jale) ait Temp dizinine otomatik olarak kaydedildiğine dair bir mesaj ile karşılaşılır.

Prosese ait dump dosyasının ilgili dizine lsass.dmp adı ile kaydolduğu görülmektedir.

Dump dosyası, aynı mimariye sahip (64 bit mimarideki Windows 7 veya Windows Server 2008 R2) bir bilgisayara taşınıp Mimikatz aracına parametre olarak verilirse, LSASS prosesinde kayıtlı olan kimlik bilgileri elde edilebilmektedir.