Zpět na seznam článků     Číst komentáře (5)     Verze pro tisk

LSA Secrets

Autor: Emkei   
6.6.2005

Local Security Authority Subsystem (LSASS.EXE)


LSASS.EXE (Local Security Authority Subsystem) je služba ve Windows, která s/bez vědomí uživatele eviduje hesla, která následně ukládá (ať už v podobě hashe nebo čistého textu) do systémového registru.
"Bez vědomí uživatele" uvádím z toho důvodu, že nezáleží, zda je políčko 'Uložit heslo' zaškrtnuto nebo ne, k uložení dojde jednoduše pokaždé.

Hesla se ukládají do následujícího klíče, o kterém platí to samé, jako o klíči SAM, a sice, že jej nelze přímo ve Windows prohlížet, a to ani s právy administrátora:
HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets



LSA uchovává následující hesla:

# Hesla účtů pro služby v prostém textu. Tyto účty jsou vyžadovány softwarem, který se musí přihlásit pod kontextem lokálního uživatele, aby mohl provést úkony jako například zálohování. Jedná se o účty, které existují typicky ve vnějších doménách a při odhalení kompromitovaným systémem mohou poskytnout útočníkovi způsob, jak se přihlásit na tuto vnější doménu přímo.

# Hašovaná hesla z mezipaměti posledních deseti uživatelů, kteří se na počítač přihlásili.

# Webová uživatelská hesla a uživatelská hesla FTP v prostém textu.

# Hesla a jména účtů připojených telefonicky prostřednictvým Remote Access Services (RAS).

# Hesla účtů počítače pro přístup k doméně.



Hesla k doméně by nás měli zajímat z toho důvodu, že ačkoliv se nám podaří získat práva administrátora na některém uzlu, jsme stále z pohledu sítě jen běžní uživatelé (lokální administrátoři, ale pouze doménoví uživatelé).
Zatímco získáním administrátorských privilegií na počítači, který není připojen k síti, jsme s prací u vítězného konce, v síti tomu tak není a jsme zhruba ve čtvrtině útoku. Naším cílem je přidat nebo vytvořit nový účet, který bude zařazen do skupiny 'Domain Admins', čímž získáme plnou kontrolu nad sítí. Hashe hesel síťových účtů se neukládají do souboru SAM, ale do tzv. 'Active Directory' (%windir%\NTDS\ntds.dit) a co je pro nás důležité, záznamy také do LSASS databáze.

K získání hesel z této databáze slouží program lsadump2 od Paula Ashtona. K jeho používání je nutné mít oprávnění SeDebugPrivilege, které získáte s právy administrátora (na lokální stanici).

Více informací nejen o zmíněných technikách se dočtete v knize 'Hacking bez tajemství'.



Emkei


Líbil se Vám článek?
Budeme potěšeni, pokud vás zaujme také reklamní nabídka

Social Bookmarking

     





Hodnocení/Hlasovalo: 0/0

1  2  3  4  5    
(známkování jako ve škole)