این روش SSH با Kerberos (GSSAPI) یکی از تمیزترین و مخفی‌ ترین راه‌هایی هست که تو عملیات Red Team استفاده می‌کنیم. دیگه لازم نیست key بذاری رو سرور، دیگه لازم نیست رمز بزنی، فقط کافیه تیکت Kerberos داشته باشی.

Get-GPResultantSetOfPolicy -ReportType Html -Path C:\Users\thb\Desktop\r.html

C:\Users\thb\Desktop\r.html

Get-GPResultantSetOfPolicy

-ReportType Html

-Path

چو رنگین رخ تاجور تیره شد
به‌زاریش بهرامِ یل خیره شد
چهل روز بُد سوگوار و نژند
پُر از گرد و بیکار تختِ بلند

مرا اندرین سوگ یاری کنید
همان تن به تن سوگواری کنید
نبیند سرِ تیغِ ما را نیام
نه هرگز بُوَم زین سپس شادکام
ز مردم‌ْشُمَـر گر ز دام و دده
کسی کو نباشد به درد آزَده
مباد اندر آن دیده‌در آبِ شرم
که از دردِ ما نیست پر خونِ گر

⭕ اکتیو دایرکتوری Active Directory به مدیران شبکه این امکان رو میده که دامنه‌ها، کاربران و تمام ابجکت های داخل شبکه رو به راحتی مدیریت کنن.

⭕ هر چی شبکه بزرگ‌تر میشه، AD راه هوشمندانه‌ای برای سازماندهی صدها و هزاران کاربر فراهم میکنه: اون‌ها رو داخل گروه‌ ها و زیرگروه‌های منطقی قرار میده و دقیقاً در هر سطح، کنترل دسترسی رو اعمال میکنه.

در بیشتر دوره ‌های تیم قرمز، دانشجویان را تشویق می ‌کنند تا از اسکریپت‌ های PowerShell آماده برای شمارش محیط AD استفاده کنند، مانند  powerview.ps1، که روشی بسیار مناسب و غیرپیچیده است. اما اگر این روش مناسب برای ما نامناسب شود و اجازه دانلود اسکریپت‌های PowerShell یا هر ابزار دیگری از اینترنت در سیستم آسیب‌دیده را نداشته باشیم، چه باید کرد؟
اسکریپت‌هایی مانند Powerview.ps1 از توابع برای ساده‌سازی کارها استفاده می‌کنند. اما برخی از دستورات تک‌ خطی وجود دارند که می ‌توانند همان کار را در صورت عدم دسترسی به powerview انجام دهند.

مقدمه
در اکوسیستم مدرن ابزارهای post-exploitation، روند پایداری مشاهده می‌شود: تغییر از راه‌حل‌های تجاری بسته به فریم ورک ‌های C2 open-source انعطاف‌پذیر. اگر در دهه ۲۰۱۰ محصولات سطح Cobalt Strike و Metasploit Pro غالب بودند، در اواسط دهه ۲۰۲۰ پروژه‌های نسل جدید به طور فعال ظاهر می‌شوند مانند Adaptix C2 .

اگر تازه‌کار یا کارآموز وظیفه‌ای را به عامل LLM بسپارد و فقط یک پچ آماده دریافت کند، تقریباً هیچ یادگیری ‌ای رخ نمی‌دهد: فرد نتیجه را می‌بیند (شاید حتی آن را کامیت کند) اما از فرمول ‌بندی فرضیه‌ها، تجربه‌ ی خطا و یادگیری از اشتباهات باز می‌ ماند. مت پوکاک یک چارچوب خوب پیشنهاد می‌دهد: عامل به‌عنوان یک «سیستم آموزش‌دهنده با حالت» کار کند : هدف یادگیری، منابع، درس‌ ها، واژه‌ نامه، برگه‌ های تقلب، یادداشت‌ ها و سوابق پیشرفت را نگه دارد؛ بعد از هر جلسه میزان پیشرفت را به‌روز کند: چه چیزی فهمیده شده، کجا گیر کرده، و گام بعدی چقدر باید سخت باشد بدون اینکه یادگیرنده را overload کند.

من معتقدم LLMها باید به‌ جای انجام کامل وظایف، یادگیرنده را هدایت کنند تا یادگیری واقعی رخ دهد؛ عامل باید به‌ عنوان مربی حالت‌ دار عمل کند، نه جایگزین دست‌ به‌ کار.

تکنیک‌ های دقیق سرقت credential را نشان می‌دهد که توسط advanced persistent threats (APTs) در دنیای واقعی استفاده می‌ شود.
قابلیت ‌های ضروری برای post-exploitation و lateral movement در تست‌های مجاز فراهم می‌کند.
به ردتیمرها اجازه می ‌دهد رفتار واقعی مهاجم را شبیه سازی کنند تا بتوانیم دفاع‌ هایمان را واقعاً تست کنیم.
به ما کمک می‌کند تأثیر واقعی credential را به ذی ‌نفعان نشان دهیم.

دقیقاً نشان می ‌دهد مهاجم پس از به دست آوردن foothold اولیه در محیط ویندوز چه کارهایی می‌تواند انجام دهد.
برجسته می ‌کند که چرا مکانیسم ‌هایی مانند Credential Guard فقط «خوب است داشته باشیم» نیستند بلکه حیاتی ‌اند.
نشان می ‌دهد چرا administrative credential hygiene ستون فقرات یک شبکه امن است.
مهم ‌تر از همه، نشان‌دهنده indicator of compromise (IOCs) است که باید در لاگ ‌هایمان به دنبال آن ‌ها بگردیم.

پنجره‌ای به معماری احراز هویت ویندوز و تصمیمات طراحی پشت آن ارائه می‌دهد.
نشان می ‌دهد ویندوز واقعاً چگونه مواد حساس را ذخیره و حفاظت می‌کند.

روابط پیچیده بین زیرسیستم ‌هایی مانند  LSASS، LSA، SAM  و Kerberos را آشکار می ‌سازد.
راهی برای اعتبارسنجی اینکه کنترل‌ های امنیتی ما واقعاً طبق انتظار کار می‌کنند، فراهم می‌کند.

میمیکتز  نحوه ساخت ویندوز را تغییر داده است. مایکروسافت با پاسخ به تحقیقات  Benjamin، بهبودهای امنیتی قابل توجهی ایجاد کرده که همه ما امروز از آن‌ها بهره می‌بریم:
 Credential Guard :  
از virtualization-based security برای جداسازی  credentialها از بقیه سیستم ‌عامل استفاده می‌کند.
Protected Process Light (PPL)  برای  LSASS :  
این کار را به طور قابل توجهی سخت‌تر می‌کند که کدهای غیرمجاز به حافظه LSASS دسترسی پیدا کنند.
 Windows Defender Application Control (WDAC) :
 کمک می‌کند ابزارهای غیرمجاز از ابتدا اجرا نشوند.
Enhanced logging :  
اکنون قابلیت ‌های audit بسیار بهتری برای تشخیص تلاش‌ های سرقت credential از این نوع داریم.

اگر یک نکته وجود دارد که بخواهم بر آن تأکید کنم، این است: همیشه ابزارهای خود را از منابع رسمی تهیه کنید. استفاده از یک فایل باینری تصادفی که در یک فروم پیدا کرده‌اید، راه عالی برای backdoor شدن خودتان است.
مخزن  GitHub :  https://github.com/gentilkiwi/mimikatz

۱. کامپایل کد منبع
کد منبع کامل به صورت یک solution ویژوال استودیو در دسترس است. شخصاً ترجیح می ‌دهم هر زمان ممکن از منبع کامپایل کنم.
الزامات:
💠     Visual Studio  (نسخه Community کافی است).
💠     Windows SDK .
 💠 درک پایه‌ای از پروسس ساخت  C/C++

💠    می‌توانید کد را خودتان بررسی کنید .
💠    می‌توانید قابلیت‌ها را برای سناریوهای تست خاص سفارشی ‌سازی کنید.
💠     با بررسی کد منبع، جزئیات پیاده ‌سازی را بسیار بیشتر یاد می‌گیرید.
💠     اطمینان حاصل می‌کنید که جدیدترین ویژگی ‌ها و رفع باگ ‌ها را دارید.

۲. فایل ‌های باینری پیش‌ کامپایل ‌شده
اگر نیازی به تغییر کد ندارید، فایل ‌های باینری پیش ‌کامپایل‌شده معمولاً در بخش releases گیت ‌هاب موجود هستند:
GitHub Releases: https://github.com/gentilkiwi/mimikatz/releases

💠     x64 (64-bit) :  این نسخه ‌ای است که برای ۹۹٪ سیستم‌ های مدرن ویندوز استفاده خواهید کرد.
💠     Win32 (32-bit) : برای سیستم ‌های قدیمی یا نیازهای سازگاری بسیار خاص.

افزونه kiwi جانشین افزونه قدیمی Mimikatz در Meterpreter است. این افزونه به شما اجازه می‌دهد قابلیت ‌های مشابه Mimikatz را مستقیماً از داخل یک session اجرا کنید.

meterpreter> load kiwi
meterpreter> creds_all
 

ا Cobalt Strike  یکی از ابزارهای قدرتمند در حوزه adversary simulation تجاری است و قابلیت‌ های Mimikatz را از طریق دستوراتی مانند  hashdump، logonpasswords  و dcsync ارائه می ‌دهد.
تفاوت آن: Cobalt Strike با تمرکز بر operational security (OPSEC) طراحی شده است. گزینه ‌هایی برای اجرای in-memory، process injection  یا ایجاد sacrificial processes فراهم می‌کند. پروفایل ‌های malleable C2 آن نیز به evasion تشخیص رفتاری کمک می‌کنند.
از دیدگاه دفاعی: چون Cobalt Strike توسط ردتیم ها و threat   actorهای واقعی استفاده می‌شود، پیکربندی ‌های پیش ‌فرض آن به شدت signature شده‌اند. مدافعان باید بر رفتارها (مانند دسترسی به  LSASS) تمرکز کنند نه نام ابزار.

این اسکریپت originally بخشی از فریم‌ ورک PowerSploit بود. یک wrapper پاورشل است که Mimikatz را بدون touching دیسک، در حافظه لود می‌کند.

Invoke-Mimikatz -Command "privilege::debug sekurlsa::logonpasswords"

باید به یاد داشته باشیم که Mimikatz یک ابزار «dual-use» است. می ‌تواند برای اهداف خوب یا بد استفاده شود. خود ابزار خنثی است؛ اخلاق و legality کاملاً به کسی بستگی دارد که دستورات را تایپ می‌کند. از قدرت خود با مسئولیت استفاده کنید.

پس از این بخش های مقدمه، basics را بررسی می‌کنیم: نحوه اجرای ابزار، ساختار ماژول‌ های آن، و انجام اولین عملیات‌ ها. از آنجا دانش شما را به صورت progressive در هر subsystems  امنیتی ویندوز می‌ سازیم.
 
به یاد داشته باشید، هدف ما فقط یادگیری یک ابزار نیست. ما از Mimikatz به عنوان وسیله‌ای برای کاوش معماری Underlying امنیت ویندوز استفاده می‌کنیم. این دانش چه در حال تست، دفاع، یا صرفاً تلاش برای درک سیستم‌ هایی که هر روز با آنها کار می‌کنید، بسیار ارزشمند است.
 

بخش اول ، بخش دوم ، بخش سوم ، بخش چهارم