T1003.005: 缓存的域凭据

摘要

攻击者可能尝试访问缓存的域凭据，这些凭据用于在域控制器不可用时允许进行身份验证。(Citation: Microsoft - Cached Creds) 在 Windows Vista 及更高版本中，哈希格式为 DCC2（域缓存凭据版本 2）哈希，也称为 MS-Cache v2 哈希。(Citation: PassLib mscache) 默认缓存的凭据数量各不相同，并且可以按系统进行更改。此哈希不允许传递哈希（pass-the-hash）式攻击，而是需要[密码破解](https://attack.mitre.org/techniques/T1110/002)来恢复明文密码。(Citation: ired mscache) 在 Linux 系统上，可以通过由 System Security Services Daemon（SSSD）或 Quest Authentication Services（原 VAS）等软件维护的缓存访问 Active Directory 凭据。缓存凭据哈希通常位于 SSSD 的 `/var/lib/sss/db/cache.[domain].ldb` 或 Quest 的 `/var/opt/quest/vas/authcache/vas_auth.vdb`。攻击者可以使用 `tdbdump` 等实用工具对这些数据库文件进行转储，获取缓存的哈希，并使用[密码破解](https://attack.mitre.org/techniques/T1110/002)来获得明文密码。(Citation: Brining MimiKatz to Unix) 拥有 SYSTEM 或 sudo 访问权限时，可以使用 [Mimikatz](https://attack.mitre.org/software/S0002)、[Reg](https://attack.mitre.org/software/S0075) 以及 Windows 的 secretsdump.py 或 Linux 的 Linikatz 等工具/实用程序来提取缓存的凭据。(Citation: Brining MimiKatz to Unix) 注意：Windows Vista 的缓存凭据使用 PBKDF2 派生。(Citation: PassLib mscache)