Mimikatz
Last updated
Last updated
Mimikatz, Windows əməliyyat sistemindən həssas məlumatları çıxarmaq üçün Benjamin Delpy tərəfindən hazırlanmış güclü post-explotation alətidir. C dilində yazılmış bu alət, parollar, hashlər və Kerberos biletləri kimi həassas məlumatları Windows sisteminin yaddaşından çəkə bilir. Bunun üçün o, Windows autentifikasiya prosesindəki zəifliklərdən istifadə edir.
Mimikatzın əsas hücumları:
Pass-the-Ticket (PtT) Hücumu: Bu hücum, Kerberos biletlərinin yaddaşdan çıxarılmasını, hücumçunun digər istifadəçiləri təqlid etməsinə, resurslara icazəsiz giriş əldə etməsinə imkan verir.
Pass-the-Hash (PtH) Hücumu: Mimikatz yaddaşdan parol hashlərini çıxarır ki, bu da hücumçuya faktiki plaintext paroluna ehtiyac duymadan autentifikasiya etməyə imkan verir.
Pass-the-Key (PtK) Hücumu: Bu hücumda, Kerberos autentifikasiyası prosesində istifadə olunan əsas(key) materialın çıxarılır ki, bu da təcavüzkarın başqa istifadəçini təqlid etməsinə imkan verir.
Credential Manipulyasiyası: Mimikatz icazəsiz giriş əldə etmək üçün sessiyaya etimadnamələr (credentials) daxil edə, imtiyazları dəyişə və digər bu tip manipulyasiyalar edə bilər.
Mimikatz yükləmə prosesi:
1.Mimikatzı yükləmək üçün bu mənbədən istifadə edə bilərsiniz:
2.Git clone əmrindən istifadə edərək, bu git repozitoriyasını local maşınımıza yükləmək mümkündür. Lakin bu fayla Windows Security tərəfindən icazə verilmədiyi üçün "Real time protection" söndürülməlidir.
3.Yükləndikdən sonra \mimikatz\x64 qovluğunun içərisindəki mimikatz.exe faylı işə salınmalıdır.
Mimikatz əmrləri (Əmrləri praktiki şəkildə göstərmək üçün TryHackMe labından istifadə edəcəyəm):
Bu səlahiyyət ,Windowsda istifadəçiyə yaddaşı oxumaq və manipulyasiya etmək də daxil olmaqla digər prosesləri sazlamağa (debug etməyə) imkan verən güclü imtiyazdır.
Bu əmr, cari prosesi sistemdə mövcud olan ən yüksək imtiyaz səviyyəsinə çatdırmağa cəhd edir.
Bu əmr, sistemin yaddaşından açıq mətn(plaintext) parollarını və digər autentifikasiya məlumatlarını çıxarmaq üçün istifadə olunur.
sekurlsa::pth (Pass-the-Hash) əmri pass-the-hash hücumunu həyata keçirmək üçün istifadə olunur. Bu hücum, autentifikasiya etmək və sistemə giriş əldə etmək üçün istifadəçinin parolunun heşindən istifadə edir. Əmrdəki /user, /ntlm və /domain parametrləri müvafiq olaraq hədəf istifadəçini, NTLM hashını və domeni təyin edir.
Bu əmr, Local Security Authority Subsystem Service (LSASS) xidmətinin yaddaşından Kerberos biletlərini çıxarmaq üçün istifadə olunur.
Bu əmr, Təhlükəsizlik Dəstəyi Provayderi (Security Support Provider) paketləri ilə əlaqəli yaddaş məlumatlarını çıxarmaq üçün istifadə olunur. SSP'lər Windows'da autentifikasiya prosesi zamanı etimadnamələrin idarə edilməsi də daxil olmaqla təhlükəsizlik və autentifikasiyadan məsul olan dinamik əlaqə kitabxanalarıdır (DLL).
Bu əmr, LSASS (Local Security Authority Subsystem Service) prosesinin yaddaş dump'nı yaratmaq üçün istifadə olunur. Bu dump əlavə təhlil üçün faylda saxlanıla bilər.
Bu əmr, LSASS prosesinin yaddaşında saxlanılan DPAPI (Data Protection API) etimadnaməsi ilə bağlı məlumatları əldə etmək üçün istifadə olunur.
Bu əmr, LSASS ilə əlaqəli şifrələmə açarları haqqında məlumatı əldə etmək üçün istifadə olunur.
Bu əmr, Security Account Manager (SAM) verilənlər bazasından parol heşlərini çəkməküçün istifadə olunur.
LSA Secret'də saxlanılan plaintext və ya heşlənmiş etimadnamələri əldə etmək üçün istifadə olunur. LSA Secret, parollar kimi həssas məlumatların saxlandığı Windows əməliyyat sisteminin bir hissəsidir.
Bu əmr, domendəki istifadəçi hesabları üçün parol məlumatlarını tələb əldə etmək məqsədilə Domain Controller (DC) davranışını simulyasiya etmək üçün istifadə olunur. Bu əmr, əsasən "DCSync" adlandırılan u prosesi yerinə yetirmək üçün DRSUAPI'dan (Directory Replication Service Remote Protocol) istifadə edir.
Bu əmr, Windows sistemində keşlənmiş Kerberos biletləri haqqında məlumatları əldə etmək üçün istifadə olunur.
kerberos::ptt əmri cari sessiyanın yaddaşına Kerberos Ticket Granting Ticket (TGT) yeritmək (inject) üçün istifadə olunur. Bu, həmçinin "Pass the Ticket" (PtT) hücumu kimi bilinir və təcavüzkarın resurslara, sanki onlar ilə əlaqəli qanuni istifadəçi kimi daxil olmasına imkan verən bir texnikadır.
Windows sistemində aktiv Remote Desktop Services (RDS) sessiyalarını listələmək üçün istifadə olunur.
Bu əmr, Credential Vault kimi də tanınan Windows Credential Manager'də saxlanılan etimadnamələrin siyahısını əldə etmək üçün istifadə olunur. Credential Manager Windows'da istifadəçilərin müxtəlif tətbiq və xidmətlər üçün adları və parolları daxil olmaqla müxtəlif etimadnamələrini saxlamağa və idarə etməyə imkan verən təhlükəsiz saxlama sahəsidir.
Windows'da Credential Guard (Etibarnamə Mühafizəsi) kimi Local Security Authority (LSA) mühafizə nəzarətləri, müəyyən həssas məlumatları təcrid etmək, icazəsiz giriş və müdaxilənin qarşısını almaqla sistemdəki etimadnamələrin təhlükəsizliyini artırmaq üçün nəzərdə tutulmuşdur. Credential Guard kimi LSA mühafizə nəzarətləri Mimikatz üçün etimadnamələri yaddaşdan əldə etməyi çətinləşdirə bilir.
mimidriver.sys faylı Mimikatz aləti ilə birlikdə "mimikatz sürücüsü" kimi tanınan kernel-mode-driver istifadəsi ilə əlaqələndirilir.Bu nümunədə, bu fayldan istifadə edərək "Kernel Land Bypass" həyata keçirəcəyik.
BU hücum haqqında məlumat almaq üçün aşağıdakı keçidlərdən istifadə edin:
Aşağıdakı əmrdən istifadə edərək aktiv proseslərin arasında lsaiso.exe prosesinin olub-olmadığını yoxlayın.
Əgər proses mövcuddursa, lsass'ı dump etmək üçün bir yol yoxdur, biz yalnız şifrələnmiş məlumatları əldə edə bilərik. Amma keylogger və ya clipboard(məlumat buferi) dumperlərdən istifadə edərək məlumatları ələ keçirmək mümkündür. Aşağıdakı əmrdən istifadə edərək öz zərərli Təhlükəsizlik Dəstəyi Provayderimizi (Security Support Provider) yaddaşa yeridə bilərik.
İndi bu maşındakı hər bir istifadəçi sessiyası daxil olmaqla, plaintext etimadnamələr tutularaq mimilsa.log faylına yüklənəcək.
Mimikatz istifadəsi haqqında daha çox məlumat almaq üçün bu keçiddən istifadə edin.
