Active Directory 安全攻防（十七）

引言

在Active Directory渗透测试中，sekurlsa是mimikatz中使用频率最高、攻防价值最大的核心模块。它的能力直指Windows安全体系的心脏——LSASS进程（Local Security Authority Subsystem Service），能够从该进程的内存空间中提取密码、哈希、Kerberos票据、PIN码等各类凭据信息。

LSASS是Windows登录子系统的核心服务，负责处理用户认证、生成安全令牌、管理本地安全策略。正因为它在认证流程中的枢纽地位，LSASS进程的内存中缓存了大量敏感的凭据数据——而sekurlsa模块正是利用这一点，成为攻击者在内网渗透中最锋利的武器。

本文将系统解析sekurlsa模块的完整命令集、实战输出分析以及各凭据提供程序的安全含义，帮助安全从业者深入理解这一关键攻击面。

一、sekurlsa模块命令全览

sekurlsa模块提供了16个子命令，覆盖了Windows凭据体系中几乎所有的认证提供程序：