Mimikatz เป็นเครื่องมือสำหรับการดึง password ออกมาจาก memory โดย Mimikatz นั้นถูกเขียนด้วยภาษา C แต่ก็ถูก port ไปหลายภาษาด้วยกัน ไม่ว่าจะเป็น powershell, python, etc. โดย Mimikatz ทุกๆ version จะมีการ build ให้ทำงานใน Architecture ที่แตกต่างกันนั่นคือ 32 bit, 64 bit นั่นเอง (ทั้งหมดใช้สิทธิ์ administrator ในการรัน)

การทำ Skeleton Key (กุญแจผี) ด้วย Mimikatz ใน Active Directory

การทำงานอันนี้ก็ไม่มีอะไร มันคือเราทำการยัด key เข้าไป memory นั่นเอง

ทีนี้หากเรา login ไปยัง user ใดๆ โดยใช้ password เป็น “mimikatz” ก็จะกลายเป็นว่าสามารถ login เข้าได้เลย (ไม่ได้เป็นการ reset password ของ user แต่อย่างใด) ซึ่งการ inject เข้าไปใน memory นั่นหมายความว่าถ้ามีการ restart server skeleton key ก็จะหายไปนั่นเอง

Blue Screen of Death (bsod)

บังคับให้เครื่องเกิด BSOD โดยการสร้าง mimidrv service จากนั้นสั่งรัน service

สร้าง Golden Ticket

Golden Ticket เป็นการสร้าง ticket ใน Kerberos ที่จะทำให้ user สามารถ login ได้โดยไม่ต้องใช้ password แต่อย่างใด โดยสิ่งที่ต้องใช้สร้าง Golden ticket คือ Domain, SID, NTLM hash

1. Domain

2. SID

3. NTLM Hash

จากนั้นสร้าง Golden Ticket ด้วยคำสั่ง

จากนั้นเราสามารถจะไป authentication เครื่องใดๆก็ได้ ยกตัวอย่างการเข้าไปยัง File Sharing Server (รันบน cmd)

Source:: HackingArticle, PentestLab, beneaththewaves