使用 Security Support Provider（SSP）窃取凭据

SSP 攻击场景

Security Support Provider 是一种动态链接库（DLL），用于参与与安全相关的操作，包括身份验证。Microsoft 提供了多种 SSP，包括用于 Kerberos 和 NTLM 的组件。下面我们来看一些攻击者可能希望在计算机上注册恶意 SSP 的原因：

• 攻击者已通过本地管理员权限攻陷了成员服务器，但在整个域中进行横向移动的权限有限。
• 攻击者已以 Domain Admin 或 Administrator 身份入侵了一个 DC，但希望将权限提升为 Enterprise Admin，以便在各个域之间横向移动。
• 攻击者已使用 Pass-the-Hash 攻击以 Domain Admin 身份入侵了一个 DC，但希望利用管理员的明文密码登录其他应用程序，例如 Outlook Web Access 或远程桌面连接。

在这些任一场景中，SSP 攻击都可能非常有效。

执行 SSP 攻击

执行 SSP 攻击非常简单。本文重点关注针对域控制器的攻击。假设我们已经入侵了一个 Domain Admin 账户，并希望将恶意 SSP 注入到内存中。我们只需要在 Mimikatz:

现在，SSP 被注入到内存中。然而，如果重新启动 DC，SSP 将丢失，并且必须再次注入。这可以通过 将 DLL 注册为由 Mimikatz 提供的 SSP来解决。

一旦注册了 SSP，所有登录到 DC 的用户以及所有本地服务都会将其密码记录到 c:WindowsSystem32mimilsa.log 文件中。该文件将包含已登录用户和在系统上运行的服务帐户的明文密码：

防范 SSP 攻击

检测

SSP 攻击可能很难检测。为了查看是否有任何 DC 已经被入侵，你可以运行以下 PowerShell 命令，检查域中的每个 DC 是否存在 mimilsa.log 文件。希望结果是空的。

预防

由于针对域控制器（DC）的 SSP 攻击要求攻击者已将该 DC 作为 Domain Admin 或 Administrator 进行入侵，因此最好的预防措施是防止这些账户被攻破：通过严格限制这些组的成员资格、实施强有力的账户治理，并监控特权账户的活动。

Netwrix 如何提供帮助

在您的 AD 环境中识别安全问题，并在不法分子使用诸如 Mimikatz 之类的工具加以利用之前先修补漏洞，配合 Netwrix Active Directory security solution 。它将帮助您：

• 发现 Active Directory 中的安全风险，并对缓解工作进行优先级排序。
• 在您的 IT 基础设施中强化安全配置。
• 及时检测并遏制甚至是更高级的威胁，例如 DCSync 和 Golden Ticket 攻击。
• 借助自动化响应选项，对已知威胁实现即时响应。
• 通过快速恢复 Active Directory，最大限度减少业务中断。