استخراج رمز عبور به‌صورت متنی با Mimikatz: نحوه عملکرد، تهدیدات و روش‌های مقابله

Mimikatz یک ابزار قدرتمند و محبوب است که توسط بنجامین دلمپی در سال 2007 توسعه یافته و به منظور تحلیل و استخراج اطلاعات امنیتی و دسترسی از سیستم‌های ویندوزی طراحی شده است. این ابزار به‌ویژه برای حملات پس از بهره‌برداری و آزمایش‌های امنیتی در شبکه‌ها بسیار کاربرد دارد و به تسترهای نفوذ و هکرها اجازه می‌دهد تا اطلاعات حساس مانند رمزهای عبور و توکن‌های امنیتی را از سیستم استخراج کنند.

تاریخچه Mimikatz

ابزار Mimikatz ابتدا به‌عنوان یک پروژه تحقیقاتی توسط دلمپی ایجاد شد تا ضعف‌های امنیتی ویندوز را آشکار سازد. هدف اصلی از ساخت این ابزار، نمایش مشکلات امنیتی مربوط به مدیریت رمز عبور و احراز هویت در سیستم‌های ویندوزی بود. با گذشت زمان و انتشار به‌روزرسانی‌های مداوم، این ابزار به یکی از پرکاربردترین ابزارها در دنیای تست نفوذ تبدیل شد و شهرت زیادی در جامعه امنیت سایبری به دست آورد.

نحوه عملکرد Mimikatz

Mimikatz قابلیت‌های متعددی را برای استخراج اطلاعات امنیتی و رمز عبور از حافظه سیستم ویندوز فراهم می‌کند. برخی از اصلی‌ترین قابلیت‌های آن به شرح زیر است:

1. استخراج رمز عبور از حافظه (Clear Text Passwords): Mimikatz می‌تواند رمزهای عبور ذخیره‌شده در حافظه سیستم ویندوز را به‌صورت متنی واضح استخراج کند. این فرآیند از طریق دسترسی به حافظه سیستم و خواندن اطلاعات امنیتی انجام می‌شود.
2. گرفتن هش‌های رمز عبور (Hash Dumping): این ابزار می‌تواند هش‌های رمز عبور ذخیره‌شده را استخراج کند، که سپس می‌توانند برای حملات مبتنی بر هش مانند Pass-the-Hash استفاده شوند.
3. دریافت توکن‌های احراز هویت (Token Impersonation): Mimikatz این امکان را فراهم می‌کند تا توکن‌های احراز هویت کاربران مختلف در سیستم را به‌دست آورد و از آن‌ها برای دسترسی به سیستم‌ها و منابع دیگر در شبکه استفاده کند.
4. استفاده از حملات Pass-the-Ticket و Pass-the-Hash: با بهره‌گیری از هش‌ها و بلیط‌های Kerberos، Mimikatz می‌تواند به کاربر اجازه دهد به سیستم‌های شبکه دسترسی پیدا کند بدون اینکه نیازی به رمز عبور داشته باشد.
5. دریافت بلیط‌های Kerberos: بلیط‌های احراز هویت Kerberos می‌توانند توسط Mimikatz استخراج و برای دسترسی‌های غیرمجاز در شبکه استفاده شوند.

کاربردهای Mimikatz

ابزار Mimikatz عمدتاً در سناریوهای تست نفوذ و تحلیل امنیتی کاربرد دارد. برخی از کاربردهای اصلی این ابزار عبارت‌اند از:

• آزمایش و شبیه‌سازی حملات امنیتی: Mimikatz به متخصصان امنیتی اجازه می‌دهد تا سناریوهای واقعی حملات را شبیه‌سازی کنند و بررسی کنند که آیا سیستم‌ها در برابر این حملات مقاوم هستند یا خیر.
• بازیابی رمز عبور کاربران: در مواردی که مدیران شبکه نیاز به بازیابی رمز عبور کاربران داشته باشند، Mimikatz می‌تواند کمک‌کننده باشد.
• تحلیل و عیب‌یابی امنیتی: با استفاده از این ابزار، تحلیلگران امنیتی می‌توانند ضعف‌ها و مشکلات امنیتی موجود در تنظیمات و سیاست‌های احراز هویت سیستم‌های ویندوزی را شناسایی و برطرف کنند.

نحوه استفاده از Mimikatz

حملات Pass-the-Hash با Mimikatz

ابزار Mimikatz به‌طور خاص برای کمک به انجام حملات Pass-the-Hash و Pass-the-Ticket طراحی شده و قابلیت‌های پیشرفته‌ای برای استخراج و سوءاستفاده از اطلاعات احراز هویت کاربران در سیستم‌های ویندوزی دارد. این ابزار از طریق دسترسی به حافظه سیستم و فرآیندهای امنیتی، اطلاعات حساس مانند هش‌های رمز عبور و بلیط‌های Kerberos را استخراج کرده و امکان استفاده از آن‌ها را برای دسترسی غیرمجاز به منابع شبکه فراهم می‌کند.

در حمله Pass-the-Hash، Mimikatz از طریق استخراج هش رمز عبور کاربران به مهاجم اجازه می‌دهد تا به سیستم‌ها و منابع شبکه دسترسی پیدا کند، بدون اینکه نیازی به رمز عبور اصلی باشد. این قابلیت به‌ویژه در شبکه‌هایی که از پروتکل NTLM (پروتکل احراز هویت ویندوزی) استفاده می‌کنند، مؤثر است.

نحوه اجرای Pass-the-Hash با Mimikatz

برای انجام حمله Pass-the-Hash، مراحل زیر معمولاً توسط مهاجم طی می‌شود:

1. دسترسی به ابزار و اجرای دستور استخراج هش: ابتدا ابزار Mimikatz را با دسترسی ادمین اجرا می‌کنند و سپس با استفاده از دستورات خاصی، هش‌های رمز عبور ذخیره‌شده در حافظه را استخراج می‌کنند:
   sekurlsa::logonpasswords


   این دستور، لیستی از کاربران وارد شده، به همراه اطلاعاتی مانند هش‌های NTLM را نمایش می‌دهد.

2. تقلید کاربری با استفاده از هش NTLM: با دستور زیر، مهاجم می‌تواند به‌طور مستقیم از هش به‌دست آمده برای احراز هویت در سیستم یا شبکه استفاده کند، بدون نیاز به رمز عبور اصلی:
   sekurlsa::pth /user:username /ntlm:hash_value /domain:domain_name


   این دستور، به مهاجم اجازه می‌دهد تا به‌عنوان کاربر مورد نظر وارد سیستم یا شبکه شود.

3. دسترسی به منابع شبکه: پس از اجرای دستور، مهاجم می‌تواند به منابع شبکه مانند سرورهای فایل، پایگاه‌های داده یا برنامه‌های کاربردی دسترسی پیدا کند، انگار که کاربر اصلی است.

حملات Pass-the-Ticket با Mimikatz

در حمله Pass-the-Ticket، Mimikatz با استخراج بلیط‌های Kerberos از حافظه سیستم، به مهاجم امکان می‌دهد که بلیط‌ها را در سایر سیستم‌ها یا شبکه‌ها برای احراز هویت استفاده کند. بلیط‌های Kerberos به مهاجم اجازه می‌دهند که در محیط‌های دامنه (Domain) ویندوز به منابع مختلف بدون نیاز به رمز عبور دسترسی پیدا کند.

نحوه اجرای Pass-the-Ticket با Mimikatz

برای اجرای حمله Pass-the-Ticket، مراحل زیر طی می‌شود:

1. استخراج بلیط‌های Kerberos: ابتدا، بلیط‌های Kerberos کاربران با استفاده از دستور sekurlsa::tickets /export استخراج می‌شوند. این دستور تمامی بلیط‌های Kerberos ذخیره‌شده در حافظه سیستم را به‌صورت فایل‌های قابل استفاده برای مهاجم استخراج می‌کند:
   sekurlsa::tickets /export


   این فایل‌ها حاوی بلیط‌هایی هستند که می‌توان از آن‌ها در سایر سیستم‌ها استفاده کرد.

2. بارگذاری و استفاده از بلیط Kerberos: با دستور زیر، مهاجم می‌تواند بلیط Kerberos ذخیره‌شده را به یک سیستم دیگر وارد کرده و به منابع شبکه به‌عنوان کاربر قانونی دسترسی پیدا کند:
   kerberos::ptt ticket_filename


   دستور بالا، بلیط Kerberos استخراج‌شده را بارگذاری می‌کند و آن را به‌صورت فعال در سیستم مقصد قرار می‌دهد.

3. دسترسی به سیستم‌های دامنه: با استفاده از بلیط Kerberos بارگذاری‌شده، مهاجم می‌تواند به منابع مختلف شبکه دامنه ویندوز مانند سرورها و فایل‌ها دسترسی پیدا کند.

نکات کلیدی درباره حملات Pass-the-Hash و Pass-the-Ticket با Mimikatz

• نیاز به دسترسی ادمین: برای اجرای موفقیت‌آمیز این حملات، Mimikatz به دسترسی سطح بالای ادمین نیاز دارد.
• نقش LSASS: LSASS (Local Security Authority Subsystem Service) فرآیندی است که اطلاعات احراز هویت را در حافظه ذخیره می‌کند. Mimikatz با دسترسی به این فرآیند، هش‌ها و بلیط‌های Kerberos را استخراج می‌کند.
• دور زدن احراز هویت: این حملات به مهاجم اجازه می‌دهند که بدون نیاز به رمز عبور واقعی، به سیستم‌ها و منابع شبکه دسترسی پیدا کند.

روش‌های مقابله با حملات Pass-the-Hash و Pass-the-Ticket

برای محافظت از سیستم‌ها در برابر حملات مبتنی بر Mimikatz و Pass-the-Hash/Pass-the-Ticket، سازمان‌ها می‌توانند اقدامات زیر را اجرا کنند:

1. اجرای Credential Guard و LSA Protection: این قابلیت‌ها به محافظت از اطلاعات حساس احراز هویت در حافظه کمک می‌کنند و از دسترسی غیرمجاز به LSASS جلوگیری می‌کنند.
2. استفاده از احراز هویت چندعاملی (MFA): احراز هویت چندعاملی، سطح امنیت دسترسی‌ها را افزایش می‌دهد و خطر سوءاستفاده از هش‌ها و بلیط‌های Kerberos را کاهش می‌دهد.
3. محدود کردن دسترسی ادمین: با محدود کردن دسترسی‌های مدیریتی و استفاده از حساب‌های جداگانه برای وظایف مدیریتی، خطر دسترسی مهاجمان به اطلاعات احراز هویت کاهش می‌یابد.
4. به‌روزرسانی سیستم‌ها و پچ‌های امنیتی: به‌روزرسانی سیستم‌ها و نصب آخرین پچ‌های امنیتی می‌تواند ضعف‌های مورد سوءاستفاده را رفع کند.
5. نظارت بر رفتار غیرعادی در شبکه: ابزارهای نظارت و تشخیص تهدیدات می‌توانند فعالیت‌های مشکوکی مانند تلاش برای دسترسی به LSASS یا استفاده از بلیط‌های Kerberos را شناسایی کنند.

ابزار Mimikatz، به‌دلیل قابلیت‌های پیشرفته‌اش در اجرای حملات Pass-the-Hash و Pass-the-Ticket، یکی از ابزارهای مهم برای تست نفوذ و همچنین حملات امنیتی است. آشنایی با عملکرد این حملات و استفاده از تدابیر امنیتی مؤثر می‌تواند به کاهش خطرات و محافظت از شبکه‌ها و سیستم‌ها در برابر تهدیدات مبتنی بر Mimikatz کمک کند.