Procdump ve Mimikatz ile LSASS İçerisinden Oturum Açan Kullanıcıların Parolalarını Elde Etme

İpucu: Procdump ve Mimikatz ile LSASS İçerisinden Oturum Açan Kullanıcıların Parolalarını Elde Etme

Mimikatz bir prosesin (içerisinde kimlik bilgileri barındıran LSASS.exe) içinden logon olmuş kullanıcıların parolalarını çekebilmektedir. Böylece oturum açılabilen ama AV gibi engelleyici sistemler yüzünden mimikatz/wce çalıştırılamayan makinelerde proses içerisinden bu kimlik bilgileri elde edilebilir.

Yazının devamı için:
http://www.siberportal.org/red-team/windows-operating-system-penetration-tests/obtaining-clear-text-password-from-lsass-dump-file-that-is-stolen-from-network-drive-mapping-using-mimikatz-tool/
ve
http://www.siberportal.org/red-team/windows-operating-system-penetration-tests/obtaining-clear-text-password-from-lsass-dump-file-that-is-stolen-from-remote-windows-computers-command-line-using-mimikatz-tool/

Notlar: Belli Kullanıcıların Logon Ekranında Gizlenmesi

Belli Bir Kullanıcının Gizlenmesi

Herhangi özel bir ayar yapılmamışsa, varsayılan olarak oturum açma ekranında kullanıcılar listelenir:

"Kullanici2" adlı kullanıcıyı kaldırmak için aşağıdaki adımlar izlenmelidir.
Kayıt Defteri üzerinde Winlogon altına "SpecialAccounts" adında bir anahtar oluşturulur:

Daha sonra bu anahtar altına "UserList" adında yeni bir anahtar oluşturulur:

Bu anahtar altına yeni bir kayıt değeri girilir:

Not: Bu kayıt değeri 0 olarak oluşturulmuştur.
Bu kayıt değeri gizlenmesini istediğimiz kullanıcı veya kullanıcılar olabilir:

Artık "Kullanici2" oturum açma ekranında gözükmemektedir:

Ayrıca Denetim Masası'nda da bu kayıt gözükmemektedir. Komut satırından veya Yerel kullanıcılar kısmında ise gözükmektedir.

Eğer kullanıcı eski haline getirmek istenirse ya o kayıt değeri "1" olarak değiştirilir ya da o kayıt tamamen silinir:

İpucu: Winlogon Durumları

Winlogon Durumları

Herhangi bir zamanda Winlogon aşağıdaki üç durumda bulunabilir. Bu durumlar aşağıdaki gibidir:

• Oturum kapalı durumu
• Oturum açık durumu
• İş istasyonu kilitleme durumu

Bu üç durum arasındaki ilişki aşağıdaki şekilde belirtilmiştir:

Winlogon durumları arasındaki ilişki

Oturum kapalı durumu
"Oturum kapalı" durumda kullanıcının aktif kabuk ile etkileşimi bulunmaz. Winlogon bu durumda, kullanıcıdan oturumunu açmasını bekler. Eğer oturum açılmak istenirse, Winlogon, kullanıcıdan kimlik bilgilerini girmesini bekler. Kullanıcının girdiği kimlik bilgileri doğruysa yerel ve grup ilkelerine bakılarak kullanıcıya özel herhangi bir yasaklama olup olmadığının kontrolü gerçekleştirilir. Kullanıcı bir yasaklama ile karşılaşmıyorsa oturum açma işlemi başarılı olur.  Oturum ilk açıldığında kabuk program çalışır ve Winlogon kendi durumunu "Oturum açık" olarak değiştirir. Windows ortamında varsayılan kabuk programı Explorer.exe'dir. Kabuk program ihtiyaca göre, kayıt defterinden (HKLM/SOFTWARE/Microsoft/Windows NT/Current Version/Winlogon yolu altındaki "Shell" anahtarı değiştirilerek) özelleştirilebilir.

Oturum açık durumu
"Oturum açık" durumunda kullanıcı aktif kabuk ile etkileşim içerisindedir. Winlogon bu durumda, kullanıcıdan oturumunu kapatmasını veya iş istasyonunu kilitlemesini bekler. Eğer oturum kapatılmak istenirse, Winlogon bu oturuma ait tüm prosesleri sonlandırarak iş istasyonunu kullanıcılar için hazır hale getirir ve kendi durumunu da "Oturum kapalı" olarak değiştirir. Eğer iş istasyonu kilitlenmek istenirse, Winlogon bu oturuma ait prosesleri devam ettirir ve kendi durumunu da "İş istasyonu kilitleme" olarak değiştirir.

İş istasyonu kilitleme durumu
Winlogon "İş istasyonu kilitleme" durumunda iken, kullanıcı güvenli masaüstü ile etkileşim halindedir. Winlogon bu durumda, kullanıcıdan oturumunu açmasını veya oturumunu kapatmasını bekler. Eğer oturum devam ettirilmek istenirse, Winlogon, kullanıcıdan kimlik bilgilerini girmesini bekler. Kullanıcının girdiği kimlik bilgileri doğruysa yerel ve grup ilkelerine bakılarak kullanıcıya özel herhangi bir yasaklama olup olmadığının kontrolü gerçekleştirilir. Kullanıcı bir yasaklama ile karşılaşmıyorsa oturum açma işlemi başarılı olur.  Oturum açıldığında mevcut kabuk program devam ettirilir ve Winlogon kendi durumunu "Oturum açık" olarak değiştirir. Eğer oturum kapatılmak istenirse, Winlogon açık oturuma ait tüm prosesleri sonlandırarak iş istasyonunu kullanıcılar için hazır hale getirir ve kendi durumunu da "Oturum kapalı" olarak değiştirir.


Kaynak site:
https://www.bilgiguvenligi.gov.tr/microsoft-guvenligi/windows-isletim-sisteminde-oturum-acma-islemi-winlogon.html