.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
1。 Mimikatzは、レジストリにLSA保護をバイパスするために変更を追加します（EDRとWDは当面とは見なされません）
Mimikatz原則：Mimikatzは、lsass.exeプロセスに保存されているプレーンテキストログインパスワードを逆に取得します。 （LSASS.EXEは、ローカルセキュリティおよびログインポリシーに使用されます）。まず、Mimikatzを使用する場合、クロールは管理者の権利でなければなりません。 Win10、Win11、Win2012およびその他のバージョンでは、システムがLSA保護を有効にし、PlantextパスワードフィールドにNULLが表示されます。最初のステップは、権限を増やすことです：特権:3360Debug。 2番目のステップは、クロールすることです。Sekurlsa3:logonpasswords
LSA保護をオフにします。このログインのプレーンテキストパスワードは、LSASS.EXEプロセスに保存されます。 Mimikatzを使用して再びクロールして、Plantextパスワードを表示します。レジストリを復元すると、1から0を直接変更できます。コマンドの変更：reg hklm \ system \ currentControlset \ control \ securityproviders \ wdigest /v uselogoncredentient /t reg_dword /d 1 /f 
したがって、ミミカッツのために殺さない場合、たとえ静的すぎても、ハッシュアクションをバイパスするためにさまざまな姿勢を考慮する必要がありますが、これには間違いなく多くの時間がかかります。したがって、lsass.exeに保存されているプレーンテキストパスワードを取り出すことを検討し、ローカルミミカッツを介してパスワードを取得できます。実装：LSA保護がオフになり、管理者の権利が使用され、Microsoft Project Procdumpを使用してダンピングを使用しています（Microsoftプロジェクトであるため、EDRは毒を報告しません）、LSASSプロセスに保存されているパスワード情報を取得し、niuma.dmpとして保存します。 Procdumpプロジェクトアドレス：https://Learn.microsoft.com/zh-cn/sysinternals/downloads/procdumpコマンド：procdump.exe -ma lsass.exe niuma.dmpこの時点で、情報はローカル環境でMimikatzと同じディレクトリに引き込まれているため、通常のユーザー許可はniuma.dmpのプレーンテキストパスワードを直接読み取ることができます。ステップ1：sekurlsa3:3360minidump niuma.dmpステップ2：sekurlsa3:logonpasswordsフル
したがって、メモリストレージのDLL干渉を介してストレージを暗号化して、WDをバイパスする必要があります。
実装：前提は、LSA保護がオフになっており、管理者の特権であることです。操作中にエラーが発生する可能性があります。指定されたモジュール参照はありません。 DLLファイルの依存関係を見つけて、同じディレクトリに保存する必要があります。コマンドを使用して暗号化されたtest.logを生成し、パスC:/windows/tmepを保存し、ファイルをローカルに保存し、test.logを復号化して初期ストレージ情報を取得し、2番目のミミカッツと同じプレーンテキストパスワードを取得します。最初のステップでは、暗号化されたファイルを生成します：rundll32 dumphash.dll dllmain 2番目のステップローカル復号化コマンド：mimikatz decryption.exe test.log 1.bin 3番目のステップは、平文を読み取ります：sekurlsa:3360minidump 1つは、スクリーンショットが撮影されていません）
2。 Procdumpダンプバイパス360、Firefox
Githubプロジェクトアドレス：3https://github.com/xjsafe/mimikatzbypass 
リポスト