nosferatu

nosferatu Windows NTLM/Kerberos 认证后门 工作原理 首先，DLL 被注入到 lsass.exe 进程中，并开始挂钩认证 WinAPI 调用。目标函数为： NTLM: NtlmShared!MsvpPasswordValidate Kerberos: cryptdll!CDLocateCSystem Kerberos: samsrv!SamIRetrieveMultiplePrimaryCredentials 为了不被检测，挂钩的函数会先调用原始函数，允许正常认证流程。仅在发现认证失败后，挂钩才会将实际 NTLM 哈希替换为后门哈希。 使用 nosferat...