Início / server / Perguntas / 994076
Accepted
leeand00
Asked: 2019-12-03 20:18:06 +0800 CST

Obtendo as credenciais de rede de um processo em execução?

  • 772

Se um programa do Windows for executado com 'runas' usando o argumento '/ netonly', existe alguma maneira de ver quais credenciais estão sendo usadas por ele para a rede? Semelhante à maneira como você pode ver um processo sendo executado por um determinado usuário no gerenciador de tarefas, ou em 'lista de tarefas' ou em Get-Process?

windows

1 respostas

  1. Best Answer

    Faça o seguinte como qualquer usuário com privilégios administrativos. Naturalmente, isso só funciona depois que o processo - com o qual foi iniciado runas /netonly- acessou um recurso de rede.

    • Abra uma linha de comando com permissões elevadas ( Executar como administrador ) e digite klist sessions.
    • Procure a sessão onde diz Negotiate:NewCredentials(vem do /netonlyswitch ➜ logon type 9) e que contém o nome de usuário que executou o runascomando.
    • Observe o id da sessão, por exemplo, 0x154f7a8 .
    • Digite o comando klist -li 0x154f7a8. Isso mostrará todos os tíquetes kerberos para esta sessão. Os tíquetes kerberos são concedidos à conta de usuário que foi usada para o runas /netonlycomando. Se o comando não retornar nenhum ticket, o processo ainda não acessou um recurso de rede e, portanto, ainda não recebeu um ticket. Nesse caso, acho que sua única chance é usar algo como mimikatz para ler as credenciais em cache da memória.
    • 3

relate perguntas