Mimikatz: Недостающее руководство

Полное руководство по исследованию идентификации Windows, Kerberos и PKI.

Изначально разработанный как закрытая учебная программа для специализированных курсов на конференциях по безопасности, этот материал теперь публикуется для широкой аудитории. Значительная часть технической глубины и внутренней логики, задокументированных здесь, была отточена при непосредственной помощи и с учётом идей Бенжамена Дельпи (Benjamin Delpy), автора Mimikatz.

Об этом руководстве

Этот проект преобразует многолетний материал, читаемый инструкторами, в самостоятельное углублённое руководство. В нём объясняются не только команды, но и почему и как работают используемые протоколы Windows.

Оно предназначено для:

• Красных команд: Подробные справочники по командам и оперативные приёмы.
• Синих команд: Стратегии обнаружения, сигнатуры журналов событий и руководства по смягчению последствий.
• Исследователей безопасности: Мастер-класс по внутреннему устройству подсистемы безопасности Windows (LSA).

Онлайн-версия руководства доступна на странице GitHub.

Структура

Руководство состоит из семи логических частей:

1. Основы: Настройка, архитектура и базовые модули.
2. Внутреннее устройство системы: Токены, процессы, службы и RPC.
3. LSASS и учётные данные: Извлечение секретов, патчинг памяти и доступ на уровне ядра.
4. Углублённое изучение Kerberos: Билеты, их подделка, атаки roasting и делегирование.
5. PKI и сертификаты: Аппаратные (смарт-карты) и программные методы компрометации идентификации.
6. Постоянство в домене: DCSync, NetSync и атака DCShadow с использованием подставного контроллера домена.
7. DPAPI: Разблокировка хранимых данных, главные ключи и ключи резервного копирования.

Начало работы

Руководство лучше всего просматривать как сайт GitHub Pages.

Если вы запускаете его локально:

1. Установите зависимости: pip install mkdocs-material
2. Запустите локальный сервер: mkdocs serve
3. Откройте в браузере http://localhost:8000

---

Отказ от ответственности

Данный материал предоставлен исключительно в образовательных целях и для проведения авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам является незаконным. Всегда убедитесь, что у вас есть явное разрешение перед проведением оценки безопасности.

— Карлос Перез (DarkOperator)