Mimikatz

简介

Mimikatz是由Benjamin Delpy开发的开源工具,以能从Windows LSASS进程内存中抽取凭证而闻名,深刻影响了Windows身份认证的安全研究。

能力

它可提取登录用户的明文密码、NTLM哈希、Kerberos票据等,并支持Pass-the-Hash、Pass-the-Ticket、Golden Ticket(伪造TGT)、Overpass-the-Hash等攻击手法,用于在域环境中横向移动和权限维持。

影响与防御

Mimikatz的出现促使微软加强凭证保护,推出Credential Guard、LSA保护(RunAsPPL)、限制WDigest明文缓存等机制。它既是攻击者常用工具,也是安全研究与红队评估的重要参考,几乎所有EDR产品都会重点检测其行为。