mimikatz免杀绕过360杀毒+核晶防护

alyssa

前言

Mimikatz是一款能够从Windows认证（LSASS）的进程中获取内存，并且获取明文密码和NTLM哈希值的工具，攻击者可以利用这种功能漫游内网。也可以通过明文密码或者hash值进行提权。这款工具机器出名所以被查杀的几率极高。

本文主要是想通过免杀技术来绕过360对mimikatz工具的查杀，进而在目标主机抓取密码和hash。

免杀过程

未进行处理的mimikatz，上传就会被杀



对mimikatz进行简单处理，删除原有的图标、版本信息



添加图标、版本信息，我这里加的是everything的图标和详细信息





还是会被杀，不要慌继续处理



给修改后的文件添加everything签名，使用的项目地址:

https://github.com/secretsquirrel/SigThief，伪造签名非常好用。



这里出现了脏东西，哈哈它图标显示变回去了



问题不大，丢进360环境看还杀不杀的



好好好，已过静态查杀，接下来执行命令看看会不会杀，测试发现根本不杀


其他的杀软例如火绒、defender这种方式无法绕过，仅针对360有效。不仅可以用于mimikatz抓取密码，其他的一些内网工具被360查杀无法绕过时，也可以尝试用这种方法绕过。