4.3.1 凭证窃取机制

文档摘要

4.3.1 凭证窃取机制在红队作战的纵深演进中，渗透测试早已越过“打点即终点”的粗放阶段。当一枚鱼叉邮件成功落地、一个SMB中继链路悄然建立、或一次合法凭证的横向移动完成之后，真正的挑战才刚刚开始——如何从已控主机中持续、隐蔽、高保真地提取身份凭证，并将其转化为可复用、可编排、可扩展的横向控制能力？这不是对工具的简单调用，而是一场与Windows安全子系统、LSASS内存布局、Kerberos协议状态机、NTLM哈希生命周期以及现代缓解机制（如Credential Guard、LSA Protection、Virtualization-Based Security）之间精密博弈的技术实践。 4.3.1 凭证窃取机制，正是这场博弈的核心战术引擎。