PracticU

גניבת סיסמה מזיכרון המחשב
עם Mimikatz
תרגיל

בלי כתוביותעם כתוביות
PracticU › קורס SOC - מיישם הגנת סייבר › גניבת סיסמה מזיכרון המחשב עם Mimikatz תרגיל
מילון מושגים:
זיכרון - רכיב מהיר ונדיף שבו המחשב שומר נתונים ותוכניות בזמן ריצתם. תוכנו נמחק עם כיבוי המחשב.
Sysmon - כלי של מיקרוסופט שמתעד פעילות מפורטת במערכת Windows ביומן האירועים, לצורכי ניטור ואבחון אבטחה.
מכונה וירטואלית - מחשב מדומה שרץ כתוכנה על גבי מחשב פיזי, עם מערכת הפעלה ומשאבים משלו, בבידוד מהמערכת המארחת.
ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.
DLL - קובץ ספרייה ב-Windows המכיל קוד ופונקציות שתוכנות שונות יכולות לטעון ולהשתמש בהן במשותף.
אירוע - התרחשות שהמערכת מזהה ויכולה להגיב לה, כמו לחיצת עכבר, הקשה או סיום פעולה.
תהליך - מופע של תוכנה שרצה בזיכרון, עם הקוד, הנתונים והמשאבים שהוקצו לה על ידי מערכת ההפעלה.
SIEM - מערכת שאוספת ומנתחת לוגים ואירועי אבטחה ממקורות רבים, לזיהוי איומים ולתגובה מרוכזת.
גניבת סיסמה מזיכרון המחשב עם Mimikatz תרגיל
ההרצאה מדגימה תרגיל בסביבת מעבדה מבוקרת, שמראה איך ניטור מערכת (לדוגמה Sysmon) יכול לחשוף ניסיון לשלוף סיסמאות מתוך זיכרון המחשב, ולמה זה חשוב לצוות אבטחה.
הרעיון המרכזי
1. הקשר התרגיל: התרגיל מבוצע על מכונה וירטואלית ייעודית בענן, המיועדת ללמידה מבוקרת, ולא על מערכת אמיתית.
2. מה המערכת צריכה לתעד: כלי ניטור כמו Sysmon אפשר להגדיר כך שיתעד גם טעינה של קבצי DLL (ולא רק קבצי הפעלה), מה שמאפשר לתפוס פעילות חשודה שהייתה אחרת נשארת בלתי מתועדת.
3. מגבלת הטכניקה בגרסאות חדשות: אחת השיטות לשליפת סיסמאות מהזיכרון, שעבדה בגרסאות ישנות יותר של Windows, לא עובדת יותר בגרסאות מעודכנות.
4. איך הניטור מזהה את הפעולה: כלי ניטור יכול לייצר אירוע ספציפי כאשר תהליך אחד מנסה לגשת לתהליך מערכת רגיש שבו מאוחסנים אישורי התחברות - גישה כזו ממעטים תהליכים לגיטימיים לעשות, ולכן היא סימן חשוד שכדאי להעביר למערכת ניטור אבטחה מרכזית (SIEM).
5. מה מסמן התראה: כאשר תהליך לא מוכר (ששמו אינו ברשימת התהליכים הידועים שמורשים לכך) ניגש לתהליך הרגיש, זה אמור להפעיל התראה אוטומטית.
שימו לב
הדגש בהרצאה הוא על הצד ההגנתי - איך לזהות ולתעד ניסיון כזה, ולא על ביצועו בפועל מחוץ לסביבת תרגול מבוקרת.
השיעור הבא בקורס: מעקב אחר הליבה של וונדוס - Kernel ETW - Event Tracing for Windows עם כלי גרפי - Traceview

פרקי ההרצאה: גניבת סיסמה מזיכרון המחשב עם Mimikatz תרגיל

  1. 00:00

    התחברות למכונת התרגול

  2. 00:39

    הפעלת Sysmon לתיעוד

  3. 01:16

    עדכון הגדרות התיעוד

  4. 01:54

    הרצת Mimikatz עם דיבאג

  5. 02:32

    איתור ה-NTLM Hash של המנהל

תמלול ההרצאה: גניבת סיסמה מזיכרון המחשב עם Mimikatz תרגיל

הטקסט המלא של הדקות הראשונות בהרצאה «גניבת סיסמה מזיכרון המחשב עם Mimikatz תרגיל» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם, בסרטון זה נעשה תרגיל עם מימיקאץ ונשלוף סיסמאות מתוך הזיכרון קודם כל נתחבר למכונה וירטואלית בענן שהם יצרו עבור התרגיל הזה אנחנו מתחברים כאן ל-VPN, לתוך הרשת הפנימית שלהם בעזרת OpenVPN, קיבלנו כתובת פנימית אפשר לעשות עכשיו mstc,

  2. 00:23

    mstc שזה רימור דסקטופ קונקשן, חיבור לרשת שלהם מתחברים ל-IP שהם נתנו לי, הפנימי שלהם הם אמרו להתחבר עם אדמיניסטרטור לתוך התחנה וסיסמה ארוכה הזאת.

  3. 00:39

    נענדר, yes, ואנחנו בפנים. דבר ראשון, אנחנו נפעיל את הסיסמון בעזרת הפקודה הזאת, סיסמון.אקזה, ונגיד לו לתעד את ההאשים וגם את ה-DLLים ומודולים שנטענים.

  4. 00:54

    בואו ניכנס כאן לכונן C, לתיקי הטולס, סיסמון. נעשה פה למעלה על הכתובת cmd זה יפתח לי ישר cmd בתוך התיקייה הנוכחית שלא נצטרך לעשות פקודות כמו cd בשם של התיקייה נפיל סיסמון אקזה שיתעד את ה-hash ואימג'ים שנטענים יופי עכשיו פה בקובץ ההגדרות נפתח אותו ונחפש הגדרה image load זה אומר שיתעד גם את ה-dllים לא רק את

  5. 01:24

    קבצי אקזה כי זה הברירת המרדל שלו לתעד טעינה רק של קבצי אקזה אימג' לורד ככה וכאן צריך להחליף אינקלוד לאקסקלוד הסברתי את זה בהרחבה בסרטונים קודמים אני לא אחזור על עצמי אני רק מחליף אינקלוד לאקסקלוד ואחרי ההחלפה הזאת כותב סיסמון מינוס סי קונפיגוריישן פייר להטעין

  6. 01:48

    את כל ההגדרות מתוך הקובץ שכרגע ערכנו אותו קובץ xml עכשיו עכשיו סיסמון התחיל לתעד את הכל, נסגור את זה, נעבור ל-Mimicats.

  7. 01:59

    הם קראו לו agent.exe, שינו לו שם, אני עושה CMD כדי שיפתח לי את זה בתיקי הנוכחית, מריץ את ה-agent.exe שלהם, שזה אותו מימיקאץ, כותב פריביליש דיבאג, קיבלתי הרשאות של דיבאג, ומריץ Secure LSA Passwords, שזה שולב סיסמאות מתוך הזיכרון של ה-LSA.

  8. 02:21

    הנה הוא שלף את כל הסיסמאות, עובד כאן כי זה Windows 10 כנראה שגם לא מעודכן ואכן זה Windows 10 בגרסה 21H2 ב-Windows 11 כבר הפקודה לא עובדת ודיברנו על זה בסרטון קודם אז עשיתי Secure LSA Logon Passwords והוא שפך לי את הזיכרון של אלסאס ועכשיו אני צריך לגלות האש של אדמיניסטרטור בוא נחפש

  9. 02:47

    יוזר בשם אדמיניסטרטור ונגלה את האש שלו אני עולה למעלה מגלגל למעלה הנה הפקודה שהרצתי in a user name administrator וזה ה-ntlm hash שלו ניקח את

לקורס המלא: קורס SOC אונליין – מיישם הגנת סייבר

ההרצאה הקודמת: גניבת סיסמה מזיכרון המחשב - עם Mimikatz - וונדוס 11

ההרצאה הבאה: מעקב אחר הליבה של וונדוס - Kernel - ETW - Event Tracing for Windows - עם כלי גרפי - Traceview

הרצאות קשורות מקורסים אחרים

  • גניבת סיסמה של וונדוס 11 - דרך ה-LAN עם Responder -b
  • פריצה וגילוי סיסמה של משתמש בוונדוס 10 עם mimikatz
  • מי מנצח Admin של הדומיין או של המחשב ?
  • סיסמה של administrator - ב-AWS

קורסים נוספים במסלול

  • קורס סייבר למתחילים - Hacking - בדיקות חוסן תשתיתי ופריצה ל-Windows 10/11 - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לתשתית ארגונית - בדיקות חוסן מתקדמות ל-Active Directory - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לאתרי אינטרנט - בדיקות חוסן לאתרים - Web Pentesting - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס סייבר והאקינג ל-Android - פריצה לטלפונים ואפליקציות אנדרואיד - בודק חוסן - Mobile App Pentesting