Credential Dumping on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Credential Dumping su Windows: LSASS, SAM, DPAPI e NTDS.dit

Fri, 17 Jul 2026 00:00:00 +0000

Credential Dumping su Windows: LSASS, SAM, LSA e DPAPI #

Il credential dumping è l’estrazione di credenziali — hash NTLM, ticket Kerberos, password in chiaro — dalla memoria di processo (LSASS), dal database locale (SAM), dai segreti LSA o da vault cifrati (DPAPI e Credential Manager). Le credenziali ottenute alimentano Pass-the-Hash, lateral movement e DCSync.

Secondo il Verizon Data Breach Investigations Report 2025, l’abuso di credenziali compromesse ha rappresentato il 22% dei vettori di accesso iniziale nelle violazioni analizzate. Dopo la compromissione di un sistema, il credential dumping consente agli attaccanti di estrarre hash, password e altro materiale di autenticazione dalla memoria o dalle strutture del sistema, utilizzandolo successivamente per aumentare i privilegi e muoversi lateralmente nella rete.

Post-Exploitation Windows e Active Directory: Guida Completa

Thu, 16 Jul 2026 00:00:00 +0000

Post-Exploitation Windows e Active Directory: dal Foothold all’Obiettivo #

Ottenere una shell è il punto di partenza, non il traguardo. La differenza tra un foothold e un obiettivo raggiunto sta nel metodo con cui si sfrutta quell’accesso iniziale. Una sessione post-exploitation gestita male — comandi rumorosi, tool lasciati su disco, dumping indiscriminato — viene rilevata prima di arrivare da nessuna parte.

Il post-exploitation non è una sequenza fissa di comandi. È un ciclo decisionale che si adatta ai privilegi ottenuti, alle protezioni presenti sul sistema (Credential Guard, LSA protection, EDR) e allo scope dell’engagement. Dopo la situational awareness, credential access e privilege escalation vengono valutati in parallelo, non in ordine rigido: a volte serve scalare prima di poter accedere alle credenziali, altre volte è il contrario.

impacket-secretsdump: Dump di Hash e Credenziali Windows

Wed, 15 Jul 2026 00:00:00 +0000

impacket-secretsdump: Guida al Dump di Credenziali Windows e Active Directory #

impacket-secretsdump estrae credenziali da sistemi Windows — hash NTLM, chiavi Kerberos AES, LSA secrets, cached credentials, password history — senza eseguire alcun agente o binario sul target. Opera via SMB, WMI e il protocollo di replica AD (DRSUAPI) usando esclusivamente credenziali valide.

secretsdump.py (distribuito come impacket-secretsdump su Kali) è parte del framework Impacket. È lo strumento di credential dumping remoto più usato nei pentest Windows perché non richiede upload di tool sul target — tutto avviene via protocolli di rete standard, usando le credenziali dell’account compromesso.

Mimipenguin: Dump Credenziali Linux da Memoria (Post-Exploitation)

Tue, 17 Feb 2026 00:00:00 +0000

Introduzione #

Mimipenguin è un tool Python/Bash che estrae credenziali in chiaro dalla memoria di processi Linux. È l’equivalente Linux di Mimikatz: invece di cercare password salvate su disco (browser, config files), Mimipenguin le estrae direttamente dalla RAM dove i processi le tengono temporaneamente.

Quando un utente fa login su Linux (via SSH, GUI, o console), le credenziali passano attraverso vari processi (sshd, gdm, lightdm, systemd). Questi processi mantengono password in memoria per autenticazione PAM. Mimipenguin scansiona la memoria di questi processi e estrae le password prima che vengano cancellate.

LaZagne: Estrazione Password da Browser e Applicazioni

Mon, 16 Feb 2026 00:00:00 +0000

LaZagne è un tool open source Python che recupera password salvate da centinaia di applicazioni su Windows, Linux e macOS. A differenza di tool specifici per singole applicazioni, LaZagne supporta browser (Chrome, Firefox, Edge), client email (Outlook, Thunderbird), database (MySQL, PostgreSQL), WiFi, SSH, FTP clients, e molti altri.

Il problema nel post-exploitation è che le credenziali sono ovunque: browser salvano password, client FTP memorizzano server credentials, applicazioni custom usano config files con password in chiaro. Cercare manualmente richiede ore e conoscenza specifica di ogni applicazione. LaZagne automatizza questo processo: esegui una volta, ottieni tutte le password recuperabili.

DCSync: Dump delle Credenziali Active Directory via Replication Abuse

Tue, 10 Feb 2026 00:00:00 +0000

Executive Summary — DCSync è una delle tecniche più potenti nel pentest Active Directory. Permette di estrarre l’hash NTLM di qualsiasi utente del dominio — incluso krbtgt (per il Golden Ticket) e tutti i Domain Admin — senza eseguire codice sul Domain Controller, senza toccare il file NTDS.dit e senza privilegi di amministratore locale sul DC. L’attacco sfrutta il protocollo di replica dei Domain Controller (MS-DRSR): un attacker con i permessi giusti chiede al DC “mandami gli hash di questo utente” e il DC risponde, credendo di parlare con un altro Domain Controller. È il path definitivo per il dominio completo.TL;DRDCSync simula un Domain Controller che richiede la replica: il DC legittimo restituisce gli hash NTLM degli utenti.Permessi richiesti: DS-Replication-Get-Changes
DS-Replication-Get-Changes-All
DS-Replication-Get-Changes-In-Filtered-SetCon l’hash di krbtgt puoi forgiare un Golden Ticket e ottenere accesso persistente al dominio.

KeeThief: dump di master key e credenziali da KeePass

Sat, 07 Feb 2026 00:00:00 +0000

KeeThief estrae il composite key material direttamente dalla RAM del processo KeePass.exe, permettendo il dump delle credenziali senza conoscere la master password.

Tecnica mappata a MITRE ATT&CK T1555.005 – Password Managers.

Qui trovi il funzionamento reale del tool, il workflow operativo completo, tecniche avanzate (incluso backdoor via trigger KeePass) e cosa viene realmente rilevato in fase di detection.

Come Funziona KeeThief (Meccanica Reale) #

KeePass protegge il database .kdbx con una composite key: combinazione di master password, key file opzionale e/o Windows User Account (DPAPI). Quando l’utente sblocca il database, KeePass deriva la chiave crittografica e la mantiene in memoria finché il database resta aperto.

SafetyKatz: Wrapper Mimikatz Memory-Only per Credential Dumping LSASS ed Evasione EDR

Fri, 06 Feb 2026 00:00:00 +0000

SafetyKatz: Wrapper Mimikatz Memory-Only per Credential Dumping LSASS ed Evasione EDR #

SafetyKatz è un wrapper di Mimikatz progettato per dump LSASS in memoria senza file su disco. Quando ottieni accesso amministrativo a un sistema Windows durante un pentest Active Directory, SafetyKatz permette estrazione credential material (NTLM hash, Kerberos ticket, plaintext password) con footprint ridotto rispetto a Mimikatz standard.

Sviluppato da @harmj0y (Will Schroeder) del team SpecterOps/GhostPack, SafetyKatz adotta un approccio a due stadi: crea minidump del processo LSASS, poi carica reflectively una versione stripped di Mimikatz per parsing offline delle credenziali. Questo elimina l’esecuzione diretta di mimikatz.exe su disco, riducendo detection rate di alcuni EDR legacy.