Track Windows / Teoría
09 Vector · Hashes, LSASS y reutilización
Robo de credenciales
Muchas veces no hace falta escalar con un exploit: hace falta una contraseña o un hash. Y en Windows una credencial de una máquina suele valer en otra. Aquí está dónde viven las credenciales y cómo sacarlas (en lab controlado), para luego reutilizarlas.
💾SAM + SYSTEM -> hashes locales
La SAM guarda los hashes NT de las cuentas locales, cifrados con una clave que está en el hive SYSTEM. Con los dos, sacas los hashes.
1
Copia los hives
con admin/SYSTEM o SeBackup:
reg save hklm\sam sam + reg save hklm\system system.2
Extrae en tu Kali
impacket-secretsdump -sam sam -system system LOCAL -> hashes NT.3
Reutiliza
crackea con hashcat (modo 1000) o usa el hash directamente con Pass-the-Hash.
🐛LSASS -> credenciales en memoria
LSASS mantiene en memoria hashes, tickets Kerberos y a veces contraseñas en claro de quien ha iniciado sesión. Necesitas SYSTEM/SeDebug.
| Volcar | procdump -ma lsass.exe lsass.dmp o rundll32 comsvcs.dll MiniDump .... |
| Procesar | en tu Kali: pypykatz lsa minidump lsass.dmp (o mimikatz en Windows). |
| Resultado | NT hashes, tickets y, con suerte, contraseñas en claro -> lateral y escalada de dominio. |
PPL / Credential Guard pueden bloquearlo. En lab OSCP suele estar abierto.
👑DPAPI, Credential Manager y guardados
Windows guarda credenciales "a mano" en sitios cómodos:
| Credential Manager | cmdkey /list -> credenciales guardadas; úsalas con runas /savecred. |
| DPAPI | blobs cifrados (navegadores, Wi-Fi, apps). Con la clave del usuario/máquina se descifran (mimikatz/pypykatz). |
| RDP guardado | conexiones .rdp con credenciales DPAPI. |
| Wi-Fi | netsh wlan show profile NOMBRE key=clear -> clave Wi-Fi en claro. |
| Navegadores | contraseñas guardadas (DPAPI) de Chrome/Edge. |
"secretsdump no saca nada de la SAM"
Asegúrate de copiar TAMBIÉN el hive SYSTEM (la SAM sin SYSTEM no se descifra). Y de que los copiaste con privilegios suficientes.
"No puedo volcar LSASS"
Necesitas SYSTEM o SeDebug, y que no haya PPL/Credential Guard. Si está protegido, cambia de vector o busca credenciales en disco (configs, registro).
"Tengo un hash pero no lo puedo crackear"
No hace falta crackearlo: usa Pass-the-Hash (evil-winrm -H, crackmapexec -H, impacket). El hash ES la credencial para NTLM.
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal