Всем привет. Поговорим о небольшом в каком - то смысле, но очень мощном постэксплуатационном фреймворке Mimikatz.
Cсылочка на вики: https://github.com/gentilkiwi/mimikatz/wiki
Ссылочка где ещё почитать: https://adsecurity.org/?page_id=1821#SEKURLSAKerberos
Ссылочка на гит: https://github.com/gentilkiwi/mimikatz
Ссылочка на метасплоит с мимикатзом: https://www.offensive-security.com/m...shed/mimikatz/
Ну а я же в вкратце освещу всё, что написано в сие ссылках и добавлю от себя.
Итак, поехали, мы захватили компьютер жертвы с помощью метерпретера и теперь надо пробросить mimikatz. Для этого выполняем команду:
В результате получаем следующее...
Открываем help и погнали
Видим, что нам доступны некоторые опции (на самом деле это опции из модуля sekurlsa).
Для того чтобы узреть все модули мимикатца, необходимо выполнить команду с любым несуществующим модулем.
Код:
Code:
mimikatz_command -f antichat::
Чтобы увидеть опции любого модуля выполним же следующую команду(Напоминаю, что пока мы работаем в meterpreter console):
Код:
Code:
mimikatz_command -f crypto::
В результате получим список опций этого модуля.
Воспользуемся первой из опции и взглянем какие криптопровайдеры установлены на моей машине.
На этом я закончу смотреть на мимикатц через метерпретер и воспользуемся его бинарной сборкой для удобства описания модулей и практики. Для этого я накатил windows server 2012 с установленными Active Directory и Цербером. Об этом позже, а пока вспомним какие модули есть.
Модули
module ~ crypto– достаточно старый модуль, позволяет ресерчить CryptoApi провайдеры, но сегодня это уже мало что дает.
1) crypto:: providers – вывести список всех криптопровайдеров
2) crypto::stores – вывести все логические хранилища сертификатов в системном окружении
.SpoilerTarget" type="button">Spoiler: Профит
3) crypto::certificates – перечисляет сертификаты и ключи, так же может их экспортировать
.SpoilerTarget" type="button">Spoiler: Профит
4) crypto::keys – перечисляет установленные ключи
.SpoilerTarget" type="button">Spoiler: Профит
5) crypto::hash – функция говорит сама за себя. Получаем хешики пользователя
.SpoilerTarget" type="button">Spoiler: Профит
6) crypto::capi – делает неэкспортируемые ключи – экспортируемыми
.SpoilerTarget" type="button">Spoiler: Профит
module ~ privilege–модуль для получения определенных прав и повышение привилегий
1)privilege::debug - если у вас не работают некоторые модули выполните эту опцию. Позволяет внедряться в чужие процессы и производить их отладки.
2)privilege::driver – Получить привилегии на загрузку драйверов.
3)privilege::security – Получить привилегии на изменение политики безопасности.
4)privilege::backup – Получаем права на архивирование файлов
5)privilege::restore – Получаем права на восстановление бэкапов
6)privilege::sysenv – Получаем права на управление переменными окружения
.SpoilerTarget" type="button">Spoiler: Профит
module ~ sekurlsa – модуль для хищения паролей, важное условие, модуль работает только от админа и перед ним получить права на debug.
1) sekurlsa::logonpasswords – получить хеши залогиненных пользователей
.SpoilerTarget" type="button">Spoiler: Профит
2) sekurlsa::wdigest – получить хеши залогиненных пользователей (в открытом виде из wdigest)
.SpoilerTarget" type="button">Spoiler: Профит
3) sekurlsa::msv – тоже самое + CredentionalKeys
.SpoilerTarget" type="button">Spoiler: Профит
4) sekurlsa::tspkg – сервис для управления фрагментацией реестра, в том числе через него можно получить креды.
.SpoilerTarget" type="button">Spoiler: Профит
5) sekurlsa::livessp – ещё одна служба, которая позволяет получать креды в открытом виде.
6) sekurlsa:: process – переключиться в LSASS, чтобы снифать пассы.
7) sekurlsa:: pth - – запустить процесс от имени конкретного пользователя, используя его хэш а не пароль, по дефолту cmd.
.SpoilerTarget" type="button">Spoiler: Профит
8) sekurlsa::tickets – получить все билеты Цербера
.SpoilerTarget" type="button">Spoiler: Профит
9) sekurlsa::krbtgt – получить все TGT билеты в текущей сессии
.SpoilerTarget" type="button">Spoiler: Профит
10) sekurlsa::dpapisystem – Получить системный расшифрованный ключ
.SpoilerTarget" type="button">Spoiler: Профит
module ~ dpapi – модуль для работы с криптопротоколом DPAPI, идея в том что текст может быть расшифрован только на машине на котором он был зашифрован на основе BLOB объекта и мастер ключа.
1) dpapi::blob – непосредственно BLOB объект позволяет шифровать и дешифровать с помощью алгоритма DPAPI
2) dpapi::chrome – расшифровать пароли GOOGLE CHROME
module ~ event – модуль для очистки журнала событий
1) event::drop – остановить сервис легирования
2) event::clear - просто очистить логи
.SpoilerTarget" type="button">Spoiler: Профит
Линейный вид
