Альтернатива SAPD.exe средствами PowerShell
У моего кота есть дурная привычка приходить по утрам, примерно в 06.45, и начинать будить. Происходит это примерно так:
- Попытка №1 – вопль прямо в ухо «Хозяяяяин, вставай…»
- Если попытка оказалась не успешной то попытка №2 более эффективна т.к. при ней берется правая лапа, которой сначала без когтей кот аккуратно касается уха. Если результата нет то когти выпускаются на ноль целых хрен десятых миллиметра. Дальше когти длиннее.
Достижение задачи стопроцентное…
Вы спросите какое отношение мой кот имеет к PowerShell и SAPD.exe?
Отвечу что самое непосредственное т.к. он обожает наблюдать когда я работаю с ISE или консолью powershell. На другие окна реагирует однозначно т.е. ложиться на клавиатуру, мол нефиг ерундой заниматься 
Хотя. я немного отвлекся от тематики. Вернемся во вчерашний день.
Вчера, после просмотра записи доклада Полы Янушкевич, я подводя итоги погуглил на тему утилиты SAPD.exe (получение паролей от учетных записей сервисов). Нужная страница нашлась сразу же, вот она - http://waldemar-dacko.blogspot.com/2011/10/sapd-and-service-account-password.html.
Примечание: В свое время, у меня была своя реализация этой задачи написанная на VBS и я решил потестировать SAPD.exe.
Слил. Поставил. Работает.
Собственно ничего нового в SAPD.exe нет. Все настройки хранятся в реестре, если быть точнее то в ветке
HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets
Нужный сервис ищется в ветке
_SC_имя_сервиса
Которая содержит следующие значения:
- CurrVal – текущее зашифрованное значение
- CupdTime – время последнего обновления
- OldVal – старое значение
- OupdTime – время обновления старого значения
- SecDesc – дескриптор
Для того что бы добраться до ветки
HKLM:\Security\Policy\Secrets
Нужно запустить powershell с помощью утилиты psexec
PsExec.exe -i -s powershell.exe
Дальше, что называется, счет идет на секунды
Искать и переписывать на PowerShell имеющийся VBS-скрипт не стал т.к. есть готовое решение на PowerShell, вот оно.
Результирующие скрипт без каких либо изменений доступен для загрузки тут.
Вывод?
Не стоит запускать сервисы из под аккаунтов с повышенными привилегиями т.к. пароль можно получить не то что бы очень просто, а удивительно быстро
Похожие статьи
PDF 
Вы можете оставить комментарий.
Моё вам поклон. Вам удалось отслушать этот ужасающий перевод 0_0
А на чистом английском нельзя его где-нибудь найти? Мне кажется, что для восприятия было бы в разы проще…
P.S. У вас реализована защита от подобных атак? Много требует плясок с бубном по раздаче прав NTFS и т.д?
БафЦитировать
Перевод отвратный.
Поддерживаю.
На английском можно поискать, но пока что не задавался такой задачей.
Сергей МариничевЦитировать
1) Дать,как можно меньше привилегий учетной записи.
2) Использовать новый функционал,который доступен в Windows Server 2008 R2 – http://technet.microsoft.com/en-us/library/dd367859(WS.10).aspx
3)Если взломщик получил права System,то с большей вероятностью можно сказать,что сервер уже не ваш.
KazunЦитировать
System это всего лишь хороший плацдарм для последующего поднятия и развития.
Вылавливаем живой логин или сессию в дисконнекте, стараемся получить ее хэш или просто запустить с ее привилегиями нужные нам скрипты и пр.
Дальше по обстоятельствам…
Сергей МариничевЦитировать
Скажем про SAPD,можно послушать другой доклад Полы Янушкевич,и как раз на английском языке – http://www.techdays.ru/videos/3871.html .
KazunЦитировать
Угу. Этот доклад поинтереснее.
Только про fiddler слишком плоско
Сергей МариничевЦитировать
Еще у нее есть похожий доклад,который читался гораздо раньше,причем с юмором.Особенно смешной момент на 7:08 и посмотреть на поле address – http://channel9.msdn.com/Events/TechEd/NorthAmerica/2010/SIA333
KazunЦитировать