Credential Access dan Privilege Escalation

Bagian Credential Dumping dan Privilege Escalation berdampingan di daftar isi README: masing-masing menuju anchor #credential-dumping dan #privilege-escalation (README.md:12-13¹). Keduanya memakai bentuk tabel yang sama seperti bagian lain, yaitu kolom Name, Description, dan URL (README.md:184-186²). Halaman ini menghitung isinya, 22 tool pengambilan kredensial (README.md:187-208³) dan 10 tool eskalasi (README.md:213-222⁴), lalu menyusun keduanya sebagai satu rantai kerja dari sesi user sampai SYSTEM.

Dua bagian, satu rantai

Rantainya terbaca dari deskripsi masing-masing baris. Bagian pertama menghasilkan material kredensial, bagian kedua memakai material itu atau menemukan celah konfigurasi untuk menaikkan hak akses.

Jalur dari memori LSASS ke SYSTEM

Diagram berikut merangkum alur yang tersirat di antara dua tabel: dari sesi user yang sudah dimiliki, tool pemetik mengambil material dari beberapa sumber, lalu material itu dipakai untuk membuat sesi baru dan naik ke SYSTEM.

graph TD
  F["Foothold: sesi user"] --> LSASS["LSASS memory"]
  F --> DPAPI["DPAPI secrets"]
  F --> CHROME["Chromium profile"]
  F --> GPP["GPP cpassword"]
  F --> LDAP["Atribut LAPS di LDAP"]
  LSASS --> PROT["LSA Protection (PPL)"]
  PROT -->|"bypass: PPLKiller / PPLBlade"| DUMP["Mimikatz / SafetyKatz / Dumpert / nanodump"]
  DUMP --> MAT["Hash NTLM dan tiket Kerberos"]
  DPAPI --> SDP["SharpDPAPI"]
  CHROME --> SCH["SharpChromium / Chlonium"]
  GPP --> NGP["Net-GPPPassword"]
  LDAP --> SLAPS["SharpLAPS"]
  SDP --> MAT
  SCH --> MAT
  NGP --> MAT
  SLAPS --> MAT
  MAT --> REUSE["Logon session baru / pass-the-hash"]
  REUSE --> POT["SweetPotato / GodPotato"]
  POT --> SYS["SYSTEM"]
  style F fill:#f59e0b,color:#000
  style LSASS fill:#336791,color:#fff
  style DPAPI fill:#336791,color:#fff
  style CHROME fill:#336791,color:#fff
  style GPP fill:#336791,color:#fff
  style LDAP fill:#336791,color:#fff
  style MAT fill:#336791,color:#fff
  style PROT fill:#dc2626,color:#fff
  style DUMP fill:#8b5cf6,color:#fff
  style SDP fill:#8b5cf6,color:#fff
  style SCH fill:#8b5cf6,color:#fff
  style NGP fill:#8b5cf6,color:#fff
  style SLAPS fill:#8b5cf6,color:#fff
  style REUSE fill:#8b5cf6,color:#fff
  style POT fill:#8b5cf6,color:#fff
  style SYS fill:#2d7d46,color:#fff
%% fig: Jalur dump kredensial ke SYSTEM
%% desc: Sesi user memetik material dari LSASS, DPAPI, browser, GPP, dan LDAP, lalu material itu dipakai untuk membuat logon session dan naik ke SYSTEM.

Urutan pada diagram bukan dekorasi. Mimikatz didefinisikan sebagai aplikasi yang melihat dan menyimpan kredensial autentikasi seperti tiket Kerberos (README.md:187⁵), sedangkan nanodump hanya membuat minidump proses LSASS (README.md:204⁶) dan TrickDump hanya memakai NTAPI, menjalankan 3 program untuk menghasilkan 3 JSON dan 1 ZIP, lalu membuat minidump belakangan (README.md:207⁷). Pembacaan hasil dump di luar Windows dimungkinkan oleh pypykatz, yang menyebut dirinya implementasi Mimikatz di Python (README.md:203⁸).

Pengambilan kredensial per sumber

Tabel berikut memecah 22 baris ## Credential Dumping menurut sumber materialnya.

Tiga baris menyerang proteksi LSASS, bukan langsung isinya: PPLKiller (README.md:196¹⁷), PPLBlade (README.md:206²⁵), dan forkatz (README.md:195¹⁶). Ketiganya masuk akal dipakai sebelum dump biasa, karena Mimikatz dan Dumpert mengasumsikan memori proses bisa dibaca. Pemakaian hash dan tiket hasil dump untuk berpindah host dibahas di Lateral Movement, Tunneling, dan Exfiltrasi; tool yang mematikan proteksi LSASS dari sisi kernel ada di Defense Evasion.

Eskalasi: enumerasi dulu, baru eksekusi

Sepuluh baris ## Privilege Escalation terbagi dua peran. Lima tool memeriksa kondisi host, lima tool mengeksekusi teknik eskalasi. Diagram berikut menunjukkan bagaimana temuan dan prasyarat memilih tool eksekusinya.

graph LR
  ENUM["Watson / SharpUp / dazzleUP / PEASS / PrivKit"] --> FIND["Temuan misconfiguration atau KB hilang"]
  FIND --> EKIT["ElevateKit"]
  SEI["SeImpersonate / ImpersonatePrivilege"] --> POT["SweetPotato / MultiPotato / GodPotato"]
  SIGN["LDAP signing tidak dienforce"] --> KRB["KrbRelayUp"]
  EKIT --> SYS["SYSTEM"]
  POT --> SYS
  KRB --> SYS
  style ENUM fill:#8b5cf6,color:#fff
  style FIND fill:#f59e0b,color:#000
  style SEI fill:#f59e0b,color:#000
  style SIGN fill:#dc2626,color:#fff
  style EKIT fill:#8b5cf6,color:#fff
  style POT fill:#8b5cf6,color:#fff
  style KRB fill:#8b5cf6,color:#fff
  style SYS fill:#2d7d46,color:#fff
%% fig: Pemilihan tool eskalasi menurut prasyarat
%% desc: Tool enumerasi menghasilkan temuan, lalu prasyarat seperti SeImpersonate atau LDAP signing yang tidak dienforce menentukan tool eksekusi mana yang dipakai untuk mencapai SYSTEM.

SharpUp sengaja ditempatkan di sisi enumerasi karena deskripsinya menyatakan hanya cek paling umum yang diporting dan belum ada fungsi weaponization (README.md:215²⁹). Karena itu hasil SharpUp, Watson, dazzleUP, PEASS, dan PrivKit (README.md:214-217³⁷) perlu dipasangkan dengan tool eksekusi seperti ElevateKit (README.md:213²⁷).

Jebakan yang perlu dijaga

⚠️ GodPotato dan MultiPotato bergantung pada satu syarat yang sama: izin impersonate. GodPotato menyatakan syaratnya sebagai ImpersonatePrivilege (README.md:221³⁵), sedangkan MultiPotato menyebut SeImpersonate (README.md:219³³). Tanpa privilege itu, keduanya tidak membawa hasil, sehingga privilege tersebut harus dipastikan lebih dulu.

⚠️ KrbRelayUp hanya relevan bila LDAP signing tidak dienforce, dan deskripsinya menyebut kondisi itu sebagai pengaturan default (README.md:220³⁴). Ini bukan eskalasi universal; periksa kebijakan domain sebelum memakainya.

⚠️ Dump memori LSASS meninggalkan berkas minidump atau jejak akses proses. PPLBlade menawarkan pemindahan dump ke workstation lain tanpa menyentuh disk (README.md:206²⁵) dan CredBandit mengirim dump lewat kanal Beacon yang sudah ada (README.md:189¹⁰). Pilihan ini menentukan di mana bukti operasi berakhir.

⚠️ SafetyKatz dan AndrewSpecial memuat Mimikatz atau dump langsung ke dalam proses yang sedang berjalan (README.md:194¹⁵, README.md:198¹⁹). Keduanya berbagi risiko yang sama: proses yang terinfeksi bisa gagal atau terdeteksi bersamaan dengan tool-nya.