Credential Dumping

Bagian Credential Dumping pada README adalah daftar rujukan, bukan panduan langkah demi langkah. Bagian itu berisi tujuh subbagian ditambah satu subbagian Others (README.md:278¹, README.md:310-312²). Setiap subbagian menunjuk satu jenis artefak kredensial di Active Directory. Halaman ini menyusun bahan tersebut menjadi peta: artefak mana yang dibaca, teknik apa yang dipakai, dan sinyal apa yang sudah tersedia di tabel deteksi repository (README.md:557-574³).

Peta artefak dan teknik ekstraksi

Diagram di bawah menempatkan penyimpanan kredensial dan teknik ekstraksinya dalam satu relasi. Tiga teknik berbagi satu sumber yang sama, yaitu NTDS.dit pada Domain Controller (README.md:280-282⁴). Kerberoasting dan AS-REP roasting mengambil bahan dari tiket Kerberos, sedangkan DCSync memakai replikasi direktori untuk membaca isi database yang sama.

erDiagram
    NTDS_DIT {
        varchar artifact "ntds.dit"
        varchar host "Domain Controller"
    }
    SAM {
        varchar artifact "SAM hive"
        varchar technique "Internal Monologue"
    }
    CREDENTIAL_VAULT {
        varchar artifact "Windows Credential Manager / Vault"
        varchar technique "DPAPI"
    }
    NTDS_DIT ||--o{ NTDS_EXTRACTION : "copied and parsed offline"
    NTDS_DIT ||--o{ KERBEROASTING : "service account secrets"
    NTDS_DIT ||--o{ AS_REP_ROASTING : "accounts without pre-authentication"
    NTDS_DIT ||--o{ DCSYNC : "read through directory replication"
    SAM ||--o{ INTERNAL_MONOLOGUE : "NTLM hashes without touching LSASS"
    CREDENTIAL_VAULT ||--o{ DPAPI_ABUSE : "unlocked with the user key"
    style NTDS_DIT fill:#336791,color:#fff
    style SAM fill:#336791,color:#fff
    style CREDENTIAL_VAULT fill:#336791,color:#fff
    style NTDS_EXTRACTION fill:#dc2626,color:#fff
    style KERBEROASTING fill:#dc2626,color:#fff
    style AS_REP_ROASTING fill:#dc2626,color:#fff
    style DCSYNC fill:#dc2626,color:#fff
    style INTERNAL_MONOLOGUE fill:#dc2626,color:#fff
    style DPAPI_ABUSE fill:#dc2626,color:#fff
%% fig: Relasi penyimpanan kredensial dan teknik ekstraksi
%% desc: NTDS.dit menjadi sumber bersama bagi Kerberoasting, AS-REP roasting, dan DCSync, sedangkan SAM dan credential vault punya teknik ekstraksi sendiri.

Tabel berikut memetakan setiap subbagian README ke artefak yang dibacanya.

NTDS.dit dan SAM di sisi host

Subbagian pertama menautkan dua artikel: How Attackers Pull the Active Directory Database (NTDS.dit) from a Domain Controller dan Extracting Password Hashes From The Ntds.dit File (README.md:280-282⁴). Judul keduanya memisahkan dua langkah: menarik berkas keluar dari Domain Controller, lalu mengekstrak hash darinya. Langkah ekstraksi berjalan pada salinan berkas, bukan pada host aslinya.

Subbagian SAM (Security Accounts Manager) justru hanya memuat satu rujukan, yaitu Internal Monologue Attack: Retrieving NTLM Hashes without Touching LSASS (README.md:284-285⁵). Fokusnya berbeda dari ntds.dit: yang diambil adalah hash NTLM, dan judulnya menegaskan bahwa proses tersebut tidak menyentuh LSASS. Pengerasan akses SAM jarak jauh disediakan terpisah oleh SAMRi10 (README.md:445¹¹).

Kerberoasting

Kerberoasting adalah subbagian paling padat di bagian ini: enam rujukan, dari Kerberoasting Without Mimikatz sampai DerbyCon 2019 - Kerberoasting Revisited, termasuk daftar password untuk cracking dengan syarat kompleksitas (README.md:287-293⁶). Judul Kerberoasting Without Mimikatz menunjukkan bahwa teknik ini tidak bergantung pada satu tool; tiket TGS cukup diminta lewat interaksi Kerberos biasa.

Sinyal deteksinya adalah 4769 A Kerberos ticket was requested. Event yang sama juga dipakai untuk S4U2Proxy, sehingga 4769 saja tidak memisahkan keduanya (README.md:569-570¹²). Di sisi pencegahan, README mengelompokkan mitigasinya sebagai perlindungan kredensial akun layanan: pakai (Group) Managed Service Accounts atau password lebih dari 20 karakter, lalu naikkan syarat panjang password lewat FGPP (README.md:504-509¹³).

AS-REP roasting

⚠️ Judul subbagian ditulis Kerberos AP-REP Roasting, sedangkan tautan di dalamnya berjudul Roasting AS-REPs (README.md:295-296⁷). Istilah pada judul dan istilah pada artikel tidak sama; pakai AS-REP saat mencari bahan lanjutan, karena AP-REP tidak muncul lagi di bagian lain repository.

Subbagian ini hanya berisi satu tautan (README.md:295-296⁷). Tidak ada event ID yang dipasangkan khusus untuk AS-REP roasting pada tabel deteksi repository (README.md:557-574³).

DCSync

Tiga rujukan menandai subbagian DCSync: Mimikatz and DCSync and ExtraSids, Oh My, Mimikatz DCSync Usage, Exploitation, and Detection, dan Dump Clear-Text Passwords for All Admins in the Domain Using Mimikatz DCSync (README.md:302-305⁹). Ketiganya bertumpu pada Mimikatz. Judul rujukan ketiga menyebut hasil yang bisa diperoleh bukan hanya hash, tetapi password clear-text milik admin domain.

Tabel deteksi memasangkan DCSync dengan satu event saja: 4662 An operation was performed on an object (README.md:573¹⁴).

⚠️ Deskripsi 4662 sangat umum, dan repository tidak mencantumkan event lain untuk DCSync. Jangan bertumpu pada 4662 sendirian; README menyediakan DCSYNCMonitor yang memantau DCSYNC dan DCSHADOW lalu membuat Windows Event khusus (README.md:456¹⁵).

Windows Credential Manager dan Vault

Subbagian ini memuat dua rujukan: panduan operasional abuse DPAPI dari sisi penyerang, dan satu tulisan tentang RDP jump box (README.md:298-300⁸). Keduanya menyasar kredensial milik pengguna, bukan database direktori. Artefak yang dibaca adalah vault lokal yang dibuka dengan kunci pengguna, sehingga hasilnya bergantung pada siapa yang sedang logon di host tersebut.

LLMNR/NBT-NS poisoning

Satu rujukan, LLMNR/NBT-NS Poisoning Using Responder (README.md:307-308¹⁰). Berbeda dari subbagian lain, di sini kredensial tidak diambil dari penyimpanan mana pun; kredensial ditangkap saat melewati jaringan lokal. Hash hasil tangkapan itu kemudian dipakai untuk Pass The Hash pada halaman Lateral Movement (README.md:192-195¹⁶).

Others

Dua rujukan sisa: Compromising Plain Text Passwords In Active Directory dan Kerberos Tickets on Linux Red Teams (README.md:310-312²). Keduanya melengkapi peta, karena password plain text dan tiket Kerberos di host Linux tidak tercakup subbagian lain.

Tool dan sinyal yang sudah tersedia

Tabel berikut merangkum tool yang disebut eksplisit di repository untuk pekerjaan ini.

Diagram berikut menyandingkan teknik dengan sinyal atau kontrol yang dipasangkan repository.

graph LR
  KERB["Kerberoasting / S4U2Proxy"] --> E4769["4769: A Kerberos ticket was requested"]
  DCS["DCSync"] --> E4662["4662: An operation was performed on an object"]
  SAMH["SAM on Windows 10/Server 2016"] --> SAMR["SAMRi10"]
  RISKY["RiskySPN"] -.-> KERB
  MSA["(Group) Managed Service Accounts, PW > 20 characters"] -.-> KERB
  MON["DCSYNCMonitor"] -.-> DCS
  CD["CredDefense"] -.-> KERB
  style KERB fill:#dc2626,color:#fff
  style DCS fill:#dc2626,color:#fff
  style SAMH fill:#dc2626,color:#fff
  style E4769 fill:#8b5cf6,color:#fff
  style E4662 fill:#8b5cf6,color:#fff
  style MON fill:#2d7d46,color:#fff
  style RISKY fill:#2d7d46,color:#fff
  style SAMR fill:#2d7d46,color:#fff
  style CD fill:#2d7d46,color:#fff
  style MSA fill:#f59e0b,color:#000
%% fig: Teknik ekstraksi dan sinyal yang dipasangkan
%% desc: Kerberoasting dan S4U2Proxy berbagi event 4769, DCSync memakai 4662, dan tool defensif dipetakan ke teknik yang dipantau atau diharden.

Satu catatan penting soal tool: Mimikatz juga dipakai untuk Pass The Hash, Pass The Ticket, dan pembuatan Golden Ticket (README.md:373-378²⁴). Keberadaan tool itu di sebuah host karena itu tidak otomatis berarti credential dumping sedang berlangsung. Catatan kedua: tidak ada satu pun event ID yang dipasangkan untuk AS-REP roasting, untuk ntds.dit, maupun untuk SAM di tabel deteksi (README.md:557-574³).

Perlindungan kredensial admin dibahas di halaman Defense & Detection: Hardening dan Patch, yang memuat Protected Users, penandaan akun sensitive & cannot be delegated, dan aturan agar admin hanya logon ke workstation yang disetujui (README.md:492-496²⁵).

Cakupan bahan

Repository tidak memuat perintah, format hash, atau contoh keluaran untuk teknik mana pun di halaman ini. Isinya tautan ke artikel eksternal, ditambah tabel deteksi dan daftar tool (README.md:373-378²⁴, README.md:557-574³). Semua langkah teknis harus diambil dari rujukan yang ditautkan, bukan dari halaman ini.