ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Всем привет. Поговорим о небольшом в каком - то смысле, но очень мощном постэксплуатационном фреймворке Mimikatz.

Cсылочка на вики: https://github.com/gentilkiwi/mimikatz/wiki

Ссылочка где ещё почитать: https://adsecurity.org/?page_id=1821#SEKURLSAKerberos

Ссылочка на гит: https://github.com/gentilkiwi/mimikatz

Ссылочка на метасплоит с мимикатзом: https://www.offensive-security.com/m...shed/mimikatz/

Ну а я же в вкратце освещу всё, что написано в сие ссылках и добавлю от себя.

Итак, поехали, мы захватили компьютер жертвы с помощью метерпретера и теперь надо пробросить mimikatz. Для этого выполняем команду:

В результате получаем следующее...



Открываем help и погнали



Видим, что нам доступны некоторые опции (на самом деле это опции из модуля sekurlsa).

Для того чтобы узреть все модули мимикатца, необходимо выполнить команду с любым несуществующим модулем.



Чтобы увидеть опции любого модуля выполним же следующую команду(Напоминаю, что пока мы работаем в meterpreter console):

В результате получим список опций этого модуля.



Воспользуемся первой из опции и взглянем какие криптопровайдеры установлены на моей машине.



На этом я закончу смотреть на мимикатц через метерпретер и воспользуемся его бинарной сборкой для удобства описания модулей и практики. Для этого я накатил windows server 2012 с установленными Active Directory и Цербером. Об этом позже, а пока вспомним какие модули есть.

Модули

module ~ crypto– достаточно старый модуль, позволяет ресерчить CryptoApi провайдеры, но сегодня это уже мало что дает.

1) crypto:: providers – вывести список всех криптопровайдеров

2) crypto::stores – вывести все логические хранилища сертификатов в системном окружении

.SpoilerTarget" type="button">Spoiler: Профит

3) crypto::certificates – перечисляет сертификаты и ключи, так же может их экспортировать

.SpoilerTarget" type="button">Spoiler: Профит

4) crypto::keys – перечисляет установленные ключи

.SpoilerTarget" type="button">Spoiler: Профит

5) crypto::hash – функция говорит сама за себя. Получаем хешики пользователя

.SpoilerTarget" type="button">Spoiler: Профит

6) crypto::capi – делает неэкспортируемые ключи – экспортируемыми

.SpoilerTarget" type="button">Spoiler: Профит


module ~ privilege–модуль для получения определенных прав и повышение привилегий

1)privilege::debug - если у вас не работают некоторые модули выполните эту опцию. Позволяет внедряться в чужие процессы и производить их отладки.

2)privilege::driver – Получить привилегии на загрузку драйверов.

3)privilege::security – Получить привилегии на изменение политики безопасности.

4)privilege::backup – Получаем права на архивирование файлов

5)privilege::restore – Получаем права на восстановление бэкапов

6)privilege::sysenv – Получаем права на управление переменными окружения

.SpoilerTarget" type="button">Spoiler: Профит


module ~ sekurlsa – модуль для хищения паролей, важное условие, модуль работает только от админа и перед ним получить права на debug.

1) sekurlsa::logonpasswords – получить хеши залогиненных пользователей

.SpoilerTarget" type="button">Spoiler: Профит

2) sekurlsa::wdigest – получить хеши залогиненных пользователей (в открытом виде из wdigest)

.SpoilerTarget" type="button">Spoiler: Профит

3) sekurlsa::msv – тоже самое + CredentionalKeys

.SpoilerTarget" type="button">Spoiler: Профит

4) sekurlsa::tspkg – сервис для управления фрагментацией реестра, в том числе через него можно получить креды.

.SpoilerTarget" type="button">Spoiler: Профит

5) sekurlsa::livessp – ещё одна служба, которая позволяет получать креды в открытом виде.

6) sekurlsa:: process – переключиться в LSASS, чтобы снифать пассы.

7) sekurlsa:: pth - – запустить процесс от имени конкретного пользователя, используя его хэш а не пароль, по дефолту cmd.

.SpoilerTarget" type="button">Spoiler: Профит

8) sekurlsa::tickets – получить все билеты Цербера

.SpoilerTarget" type="button">Spoiler: Профит

9) sekurlsa::krbtgt – получить все TGT билеты в текущей сессии

.SpoilerTarget" type="button">Spoiler: Профит

10) sekurlsa::dpapisystem – Получить системный расшифрованный ключ

.SpoilerTarget" type="button">Spoiler: Профит


module ~ dpapi – модуль для работы с криптопротоколом DPAPI, идея в том что текст может быть расшифрован только на машине на котором он был зашифрован на основе BLOB объекта и мастер ключа.

1) dpapi::blob – непосредственно BLOB объект позволяет шифровать и дешифровать с помощью алгоритма DPAPI

2) dpapi::chrome – расшифровать пароли GOOGLE CHROME

module ~ event – модуль для очистки журнала событий

1) event::drop – остановить сервис легирования

2) event::clear - просто очистить логи

.SpoilerTarget" type="button">Spoiler: Профит