[实战]绕过EDR使用mimikatz获取密码

warning 请遵循当地法律法规
侵入计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，构成非法侵入计算机信息系统罪或者非法获取计算机信息系统数据罪。

边缘信息获取

对目标地址：

example.com

进行子域名爆破结果：

zc.example.com                       218.x.x.x

www.example.com                    218.x.x.x

pop.example.com                    [腾讯企业邮箱地址]

ns2.example.com                     58.x.x.x

gq.example.com                      218.x.x.x

old.example.com                      218.x.x.x

资产获取

除掉腾讯企业邮箱的IP段，发现企业核心IP段基本集中在218.x.x.x，尝试对对应的IP段进行全端口扫描，并获取重点资产信息

进一步渗透

除掉一些弱口令外，有发现两个OA存在严重RCE漏洞，尝试登录服务器：

上传mimikatz尝试获取登录的hash，发现终端上有部署某品牌的EDR，操作被禁止：

进而转换获取lsass.exe的内存dump，下载到本地：

对下载到本地的内存dump进行离线破解，拿到服务器密码：

后渗透

基于获取的密码进行横向移动，尝试寻找域控，堡垒机，同时依据密码的规则制作针对性的弱口令字典对其余账户进行暴力破解等。