Obtener contraseña de administrador de Windows desde el propio Windows

msft-fail-icon

Desde ya hace tiempo que la forma de obtener la contraseña de administrador de Windows desde Windows ha sido obteniendo un Hash encriptado en NTLM o LM desde el SAM remoto o local de Windows, una vez obtenido ese Hash hay que crackear la contraseñas por fuerza bruta mediante Rainbow Tables, lo que se demora mucho y se hace imposible si tiene más de 10 dígitos la  contraseña, por lo cual muchas veces se prefieres usar la técnica Pass the Hash que consiste en la posibilidad de autenticarse entre máquinas Windows sin necesidad de password, solamente con el Hash (No se preocupen si no entendieron, este es un mega resumen que da para escribir mucho más).

Ahora… Gracias a un investigador francés apodado “Gentil Kiwi” que ha descubierto una nueva técnica que consta de:

Dentro del LSA (Local Security Authority) de Windows existen dos proveedores de autenticación por defecto (Tspkg y Wdigest) que almacenan las credenciales de los usuarios de forma reversible. Realmente no por un fallo inadvertido, si no porque estos módulos proveen autenticación a otros esquemas que necesitan conocer la contraseña, no sólo el hash.

Sin embargo, esto facitita a un atacante la posibilidad de recuperar las contraseñas en texto claro si dispone de permisos de debug sobre el proceso del LSASS (grupo de adminitradores), algo que podría haber conseguido previamente, por ejemplo, mediante la explotación previa de una vulnerabilidad de escalado privilegios (accediendo como SYSTEM).

Pues bueno, ya mucho blah blah ahora manos a la obra:

1.- Nos descargamos la herramienta desarrollada por “Gentil Kiwi”: http://blog.gentilkiwi.com/mimikatz

2.-
Abrimos el CMD con privilegios de administrador:

3.- Ejecutamos mimikatz.exe desde la consola que abrimos anteriormente.

4.- Ahora ejecutamos una serie de comandos que entro a explicar después de la imagen:

(1) Damos privilegios sobre el proceso lsass.exe

privilege::debug

(2) Inyectamos el proceso lsass.exe y la dll maliciosa sekurlsa.dll

inject::process lsass.exe sekurlsa.dll

(3) Obtenemos las contraseñas de Inicio de Sesión

@getLogonPasswords

(4) Es la contraseñas del usuario AADMIN, (5) La misma contraseña pero de otro inicio de sesión.

El método funciona en Windows XP, Vista y 7, en anteriores no sé. Yo creo que pronto será parchado, pero siempre se puede contar con que usen un SO desactualizado…

fuente: blackploit

Saludos

Matías Moreno Cárdenas

Publicado por: Matías Moreno Cárdenas

Analista de Seguridad IT y hacking ético / Desarrollador de Software Multiplataforma. Actualmente analista de seguridad informática y hacking ético en Grupo SIA

  1. Avatar

    muy interesante el articulo pero … esq e leido sovre engancharse al proceso lsass y tal .. pero me interesa saver como funka este software q dices para poder yo desarrolar mi propio software xD cualqier avance mi mail es elmatematico_lucas@hotmail.com

    Responder

Deja un comentario