Mimikatz 常用命令解析

Mimikatz 常用命令解析

Mimikatz 是一个强大的 Windows 内存凭据提取工具，主要用于密码哈希、凭据和身份令牌的提取。本文整理了一些常见的 Mimikatz 命令及其作用，供学习参考。

---

1. 获取 Debug 权限

mimikatz # privilege::debug

作用：

• 提升 Mimikatz 进程权限，获取 SeDebugPrivilege，以便访问系统凭据。
• 返回 Privilege '20' OK 表示成功。

---

2. 获取系统中存储的明文密码、哈希

mimikatz # sekurlsa::logonpasswords

作用：

• 获取当前系统已登录账户的凭据（用户名、NTLM 哈希、SHA1 哈希）。
• NTLM 哈希可用于 Pass-the-Hash 攻击。
• 若 Password 字段为空，说明系统未存储明文密码。

如果上方无法读取 Administrator 账户的信息，则可使用下方的命令：

---

3. 提升 Token 权限（绕过权限不足问题）

mimikatz # token::elevate

作用：

• 使用 NT AUTHORITY\SYSTEM 账户运行 Mimikatz，以访问更高级别的凭据。
• 成功后，当前线程将拥有 SYSTEM 权限。

---

4. Dump SAM 数据库中的用户凭据

mimikatz # lsadump::sam

作用：

• 提取本地 SAM 数据库中的用户哈希。
• NTLM Hash 可用于离线破解或 Pass-the-Hash。
• 关键字段：
  • SysKey：系统密钥。
  • SAMKey：SAM 数据库的加密密钥。
  • NTLM Hash：用户凭据的哈希。
  • RID：用户 ID（如 500 代表 Administrator）。

---

免责声明

本文章仅供安全研究与学习使用，严禁用于非法用途。请确保在合法授权范围内进行安全测试，否则可能会违反法律法规，作者不对任何非法使用承担责任。