恶意 SSP 注入收集密码

Lil_Dean

于 2025-03-01 20:25:49 发布

阅读量284

点赞数 7

CC 4.0 BY-SA版权

文章标签：网络服务器网络安全安全 linux

本文链接：https://blog.csdn.net/anddddoooo/article/details/145953023

SSP 安全服务提供者，是微软提供的与安全有关的函数接口，用户可根据自己的需求调用 SSP 接口实现高度自定义的身份验证等安全功能。攻击者注入恶意的 SSP 接口覆盖微软默认的某些安全功能，导致用户一旦进行身份验证，恶意的 SSP 将保存用户输入明文密码。

mimikatz.exe "privilege::debug" "misc::memssp" "exit"

当用户登录时，恶意 ssp 触发，将明文密码写入 C:\Windows\System32\mimilsa.txt。

注册表添加 SSP

将恶意 SSP 添加到注册表，即使目标重启，机器仍然使用我们恶意的 SSP。

将 mimikatz 中的 mimilib.dll 文件放到系统的 C:\Windows\System32\ 目录下。
HKEY_LOCAL_MACHINE/System/CurrentControlSet/Control/Lsa 的 Security Packages 项写入值 "mimilib.dll" 。
系统重启后，登录密码保存在 C:\Windows\System32\kiwissp.log 下。