使用 mimikatz 绕过 Windows 10 防护

在 Windows 后渗透阶段，凭据获取（Credential Access） 始终是攻击链中极其关键的一环。传统工具 mimikatz 曾长期被用于从内存中直接提取明文密码，但从 Windows 10 开始，微软引入了一系列针对这类攻击的防护机制，使得“直接读取密码”不再像以前那样简单。

本文将围绕以下内容展开：

• Windows 凭据收集的常见方式回顾
• Windows 10 Credential Guard 的工作原理
• 为什么传统 mimikatz 技术在 Windows 10 中失效
• 通过 SSP 间接获取凭据的技术原理与流程
• 对应的 MITRE ATT&CK 技术点与防御建议

一、后渗透阶段的凭据收集回顾

在取得管理员或 SYSTEM 权限后，攻击者通常会尝试收集系统中已有的凭据信息，包括：

• 浏览器密码
• Windows Credential Manager 中保存的凭据
• 本地或域账户登录信息
• 用户实时输入的用户名与密码

1. 读取存储的凭据（T1555）

Metasploit 提供了大量用于读取已存储凭据的后渗透模块：

post/windows/gather/credentials/

这些模块依赖管理员权限，可用于提取：

• 浏览器 Keychain
• Windows 凭据管理器
• 其他第三方工具保存的密码

在 MITRE ATT&CK 中，对应技术为 T1555 – Credentials from Password Stores。

2. 明文凭据文件（T1552）

另一类经常被低估的攻击路径包括：

• 脚本中的硬编码账号密码
• 备份文件、Excel、TXT 中的明文凭据

它们往往不会引起任何网络层面的警觉，却能直接导致系统和域被攻破。
对应 MITRE ATT&CK：T1552 – Unsecured Credentials。