文章目录1.mimikatz简介2.命令2.1.常用命令2.2.privilege::debug2.3.sekurlsa::logonpasswords1.mimikatz简介Mimikatz是一款用于提取Windows系统中用户凭据（例如用户名和密码哈希）的开源工具。它可以在不破坏凭据的情况下轻松访问和使用这些凭据。可以被用于攻击域控制器、服务器和客户端机器，从而获得更多权限并执行恶意操作。2.命令2.1.常用命令cls：清屏standard：标准模块，基本命令crypto：加密相关模块sekurlsa：与证书相关的模块kerberos：kerberos模块privilege：提权相关模块p
1.获取Windows用户密码一mimikatz打开windowsserver2012虚拟机进入Administrator用户第一步：首先关闭杀毒软件，接下来打开mimikatz.exe执行程序第二步：提升到debug权限提示符下，输入命令“privilege::debug”第三步：输入抓取密码命令“sekurlsa::logonpasswords”,可以看到本机面已经获取，同时也可以看到抓取的密码。2.使用jhon获取Windows用户密码第一步：使用管理员权限，切换到c盘路径，执行命令“regsavehklm\samsam.hive”和“regsavehklm\systemsystem.h
刚刚接触内存取证，在安装上遇到了一些问题，安装的步骤参考的这篇文章：内存取证-Volatility安装使用以及一些CTF比赛题目装插件mimikatz的时候遇到报错解决办法参考：OtterCTF13道内存取证题目详细解析（上）安装这个版本的constructsudopipinstallconstruct==2.5.5-reupload之后显示文件不存在文件名换成绝对路径后成功解决办法参考：VolatilityError-Therequestedfiledoesn’texist中间饶了很多弯路，也确实不知道在干嘛，继续学习
一、哈希处理介绍Windows系统使用两种算法对用户的密码进行哈希处理，它们分别是LM-hash算法和NTLMhash算法。所谓哈希(hash)，就是使用一种加密函数对其进行加密。这个加密函数对一个任意长度的字符串数据进行一次数学加密函数运算，然后返回一个固定长度的字符串。Windows的系统密码hash默认情况下一般由两部分组成：第一部分是LM-hash，第二部分是NTLM-hash。通常可从Windows系统中的SAM文件和域控制器的NTDS.dit文件中获得所有用户的hash。黑客可以使用很多工具抓取Windows的密码hash或直接破解hash获得明文密码。这些工具有：mimikatz
环境：1.攻击者IP：192.168.1.35系统:KALI2022（vmware16.0）2.靶机IP：192.168.1.16系统:Windows113.USB无线网卡4.Mimikatz2.2(win版)问题描述：Mimikatz2.2如何抓取Win11登录明文密码解决方案：WdigestWDigest协议是在WindowsXP中被引入的,旨在与HTTP协议一起用于身份认证默认情况下,Microsoft在多个版本的Windows(WindowsXP-Windows8.0和WindowsServer2003-WindowsServer2012)中启用了此协议,这意味着纯文本密码存储在LSA
0x00概述在使用rdp时会发现系统有保存连接密码的功能，一定在本地以一种加密方式保存，在连接的时候解密进行rdp尝试，那么我们能不能那到加密的密码解密以获取这台机器rdp连接过的机器呢？0x01流程“AppData\Local\Microsoft\Credentials\XXX” -->>GUID(guidMasterKey) -->>通过 sekurlsa::dpapi对比GUID拿到Masterkey-->>mimikatz通过“AppData\Local\Microsoft\Credentials\XXX”和masterkey解密秘钥。0x02方法首先使用cmdkey/list来查看是
前不久在使用mimikatz抓取hash的时候遇到了报错，本着追根溯源的原则去查看了mimikatz抓取密码的原理。在学习的过程中发现了mimikatz的每种报错都有不同的原因，本文就从mimikatz的防御角度出发来分析如何防御mimikatz抓取密码。DebugPrivilege这里先放一个微软官方对调试权限的解释：调试权限允许某人调试他们原本无权访问的进程。例如，以在其令牌上启用调试权限的用户身份运行的进程可以调试作为本地系统运行的服务。调试权限是一种安全策略设置，允许用户将调试器附加到进程或内核。管理员可以修改用户组的安全策略以包含或删除此功能。正在调试自己的应用程序的开发人员不需要此
一、上传mimikatz到20121、使用脚本建立ipc$连接netuse#查看是否连接成功2、上传mimikatz工具包和减压脚本copymimikatz_trunk.zip\\192.168.139.128\c$copyjianya.bat\\192.168.139.128\c$3、设置定时任务执行减压脚本schtasks/create/s192.168.139.128/ru"SYSTEM"/tnjianya/scDAILY/trC:\jianya.bat/F#系统大于等于windows2012创建jianya对应执行文件schtasks/run/s192.168.139.128/tnji
