搜索

[1149] 2020-11-16_Windows网络认证NTLM&Net-NTLMHash

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2020-11-16_Windows网络认证NTLM&Net-NTLMHash W i n d o w s 网 络 认 证 N T L M & N e t - N T L M   H a s h Y 4 e r   C h a B u g   2 0 2 0 - 1 1 - 1 6 N e t - N T L M   H a s h   通 常 是 指 网 络 环 境 下 N T L M 认 证 中 的 H a s h ， 比 如 在 工 作 组 环 境 中 ， 共 享 资 料 通 过 n e t   u s e 来 建 立 s m b 共 享 。 早 期 s m b 传 输 明 文 口 令 ， 后 来 用 L M ， 现 在 用 N T L M 。 N T L M 使 用 在 W i n d o w s   N T 和 W i n d o w s   2 0 0 0   S e r v e r （ o r   l a t e r ） 工 作 组 环 境 中 （ K e r b e r o s 用 在 域 模 式 下 ） 。 在 A D 域 环 境 中 ， 如 果 需 要 认 证 W i n d o w s   N T 系 统 ， 也 必 须 采 用 N T L M 。 较 之 K e r b e r o s ， 基 于 N T L M 的 认 证 过 程 要 简 单 很 多 。 N T L M 采 用 一 种 质 询 / 应 答 （ C h a l l e n g e / R e s p o n s e ） 消 息 交 换 模 式 。 N T L M 是 只 能 镶 嵌 在 上 层 协 议 里 面 ， 消 息 的 传 输 依 赖 于 使 用 N T L M 的 上 层 协 议 。 比 如 镶 嵌 在 S M B 协 议 。 简 述 简 述 N T L M N T L M 认 证 采 用 质 询 / 应 答 （ C h a l l e n g e / R e s p o n s e ） 的 消 息 交 换 模 式 ， 流 程 如 下 ： N T L M 协 议 的 认 证 过 程 分 为 三 步 ： 协 商   主 要 用 于 确 认 双 方 协 议 版 本 ( N T L M   v 1 / N T L M   V 2 ) 质 询   就 是 挑 战 （ C h a l l e n g e ） / 响 应 （ R e s p o n s e ） 认 证 机 制 起 作 用 的 范 畴 。 验 证   验 证 主 要 是 在 质 询 完 成 后 ， 验 证 结 果 ， 是 认 证 的 最 后 一 步 。 整 个 流 程 图 如 下 使 用 n e t   u s e 模 拟 流 量 请 求 , 因 为 n e t   u s e 是 建 立 在 s m b 上 的 ， 所 以 会 有 s m b 的 流 量 。 1 3 - 2 2 请 求 包 为 n e t   u s e 的 包 ， 其 中 其 中 1 3 - 1 6 为 为 s m b 的 包 ， 的 包 ， 1 7 - 2 0 为 为 N T L M 认 证 的 包 认 证 的 包 ， 一 个 一 个 看 S M B
客 户 端 向 服 务 器 发 送 s m b 协 商 1 ， 请 求 包 中 包 含 客 户 端 支 持 的 s m b 协 议 版 本 服 务 端 返 回 s m b   R e s p o n s e   1 ， 包 含 它 所 支 持 的 s m b 版 本 然 后 客 户 端 根 据 服 务 端 返 回 的 s m b 版 本 选 择 一 个 两 者 通 用 的 发 送 协 商 s m b   R e q u e s t   2 服 务 端 回 应 s m b   R e s p o n s e   2 这 里 我 其 实 没 弄 明 白 为 什 么 要 发 四 个 包 ， 按 理 说 前 两 个 包 已 经 拿 到 了 客 户 端 和 服 务 端 支 持 的 s m b 版 本 ， 第 三 个 包 直 接 认 证 就 行 了 ， 但 是 还 进 行 了 s m b   R e q u e s t 2 ， 不 是 脱 裤 子 放 屁 吗 ？ 然 后 我 对 比 了 两 个 R e q u e s t 和 r e s p o n s ， 发 现 在 两 个 R e s p o n s e 中 的   D i a l e c t   字 段 不 太 一 样 。
再 仔 细 看 R e q u e s t 2 中 只 发 送 了 两 个 s m b 版 本 大 胆 猜 测 1 .   s m b   r e q   1   发 送 所 有 支 持 的 协 议 版 本 2 .   s m b   r e s p   1   返 回 期 望 的 s m b 版 本   即 上 图 中 D i a l e c t 字 段   S M B 2   w i l d c a r d 3 .   s m b   r e q   2   客 户 端 发 现 本 地 有 两 个 s m b   V 2 的 版 本 ， 得 重 新 协 商 用 哪 个 ， 就 把 本 地 所 有 的 s m b   V 2 的 版 本 全 发 过 去 4 .   s m b   r e s p   2   就 高 不 就 低   服 务 端 返 回   S M B   2 . 1 N T L M 认 证 认 证 N T L M S S P _ N E G O T I A T E   R e q u e s t   发 送 一 些 版 本 信 息 给 服 务 端 协 商 协 议 版 本
N T L M S S P _ N E G O T I A T E   R e s p o n s e   返 回   N T L M S S P _ C h a l l e n g e   包 含 一 个 1 6 位 随 机 数 C h a l l e n g e 。 客 户 端 接 收 到 C h a l l e n g e 之 后 ， 使 用 用 户 N T L M   H a s h 与 C h a l l e n g e 进 行 加 密 运 算 得 到 R e s p o n s e ， 将 R e s p o n s e , u s e r n a m e , C h a l l e n g e 发 给 服 务 器 。 消 息 中 的 R e s p o n s e 是 最 关 键 的 部 分 ， 因 为 它 向 服 务 器 证 明 客 户 端 用 户 已 经 知 道 帐 户 密 码 。 其 中 ， 经 过 其 中 ， 经 过 N T L M   H a s h 加 密 加 密 C h a l l e n g e 的 结 果 在 网 络 协 议 中 称 之 为 的 结 果 在 网 络 协 议 中 称 之 为 N e t   N T L M   H a s h 。 。 继 续 第 三 个 请 求 包 客 户 端 发 送 刚 才 加 密 计 算 的 R e s p o n s e , u s e r n a m e , C h a l l e n g e 给 服 务 端 ， 这 里 的 C h a l l e n g e 是 客 户 端 重 新 生 成 的 一 个 随 机 的 n o n c e ， 不 同 于 上 一 个 相 应 包 中 的 C h a l l e n g e 。 M I C 是 校 验 和 ， 设 计 M I C 主 要 是 为 了 防 止 这 个 包 中 途 被 修 改 。 s e s s i o n _ k e y 是 在 要 求 进 行 签 名 的 时 候 用 的 ， 用 来 进 行 协 商 加 密 密 钥 。 第 四 个 请 求 包 表 示 验 证 通 过 。 当 使 用 错 误 的 用 户 名 密 码 n e t   u s e 时 ， 会 验 证 失 败 。 如 图
N e t - N T L M   H a s h 在 请 求 包 1 9 中 的 R e s p o n s e 根 据 系 统 版 本 被 分 为 六 种 响 应 类 型 1 .   L M ( L A N   M a n a g e r ) 响 应   -   由 大 多 数 较 早 的 客 户 端 发 送 ， 这 是 “ 原 始 ” 响 应 类 型 。 2 .   N T L M v 1 响 应   -   这 是 由 基 于 N T 的 客 户 端 发 送 的 ， 包 括 W i n d o w s   2 0 0 0 和 X P 。 3 .   N T L M v 2 响 应   -   在 W i n d o w s   N T   S e r v i c e   P a c k   4 中 引 入 的 一 种 较 新 的 响 应 类 型 。 它 替 换 启 用 了 N T L M v 2 的 系 统 上 的 N T L M 响 应 。 4 .   L M v 2 响 应   -   替 代 N T L M v 2 系 统 上 的 L M 响 应 。 5 .   N T L M 2 会 话 响 应   -   用 于 在 没 有 N T L M v 2 身 份 验 证 的 情 况 下 协 商 N T L M 2 会 话 安 全 性 时 ， 此 方 案 会 更 改 L M   N T L M 响 应 的 语 义 。 6 .   匿 名 响 应   -   当 匿 名 上 下 文 正 在 建 立 时 使 用 ;   没 有 提 供 实 际 的 证 书 ， 也 没 有 真 正 的 身 份 验 证 。 这 六 种 使 用 的 加 密 流 程 一 样 ， 都 是 前 面 我 们 说 的   C h a l l e n g e / R e s p o n s e   验 证 机 制 , 区 别 在 C h a l l e n g e 和 加 密 算 法 不 同 。 C h a l l a g e : N T L M   v 1 的 C h a l l e n g e 有 8 位 ， N T L M   v 2 的 C h a l l e n g e 为 1 6 位 。 N e t - N T L M   H a s h : N T L M   v 1 的 主 要 加 密 算 法 是 D E S ， N T L M   v 2 的 主 要 加 密 算 法 是 H M A C - M D 5 。 根 据 L m C o m p a t i b i l i t y L e v e l 的 安 全 设 置 来 决 定 发 送 哪 个 响 应 ， 默 认 如 下 1 .   W i n d o w s   2 0 0 0   以 及   W i n d o w s   X P :   发 送   L M   &   N T L M   响 应 2 .   W i n d o w s   S e r v e r   2 0 0 3 :   仅 发 送   N T L M   响 应 3 .   W i n d o w s   V i s t a 、 W i n d o w s   S e r v e r   2 0 0 8 、 W i n d o w s   7   以 及   W i n d o w s   S e r v e r   2 0 0 8   R 2 及 以 上 :   仅 发 送   N T L M v 2   响 应 N e t - N T L M   H a s h   v 1 的 格 式 为 ： N e t - N T L M   H a s h   v 2 的 格 式 为 ： C h a l l e n g e 为 为 N T L M   S e r v e r   C h a l l e n g e ， d o m i a n 由 数 据 包 内 容 获 得 ( I P 或 者 机 器 名 ) ， H M A C - M D 5 对 应 数 据 包 中 的 N T P r o o f S t r 。 b l o b 对 应 数 据 包 中 R e s p o n s e 去 掉 N T P r o o f S t r 的 后 半 部 分 ， 拼 接 N T L M   v 2   H a s h 为 H a s h c a t 破 解 就 行 了 。 u s e r n a m e : : h o s t n a m e : L M   R e s p o n s e : N T L M   R e s p o n s e : C h a l l e n g e u s e r n a m e : : d o m a i n : C h a l l e n g e : H M A C - M D 5 : b l o b a d m i n i s t r a t o r : : t e s t : b b 7 e 0 c c e 5 b 7 a 7 1 9 c : 4 0 4 2 6 e 2 e a a 7 d 7 b 4 6 7 8 5 5 b e 0 8 8 1 b 5 d 0 6 9 : 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 f 0 f 6 a e 9 e d 6 0 1 6 1 e 7 5 a b d 9 9 c 8 f d 2 b 0 0 0 0 0 0 0 0 0 2 0 0 0 8 0 0 5 4 0 0 4 5 0 0 5 3 0 0 5 4 0 0 0 1 0 0 0 4 0 0 4 4 0 0 4 3 0 0 0 4 0 0 1 4 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 3 0 0 1 a 0 0 4 4 0 0 4 3 0 0 2 e 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 5 0 0 1 4 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 7 0 0 0 8 0 0 1 1 1 1 f 0 f 6 a e 9 e d 6 0 1 0 6 0 0 0 4 0 0 0 2 0 0 0 0 0 0 0 8 0 0 3 0 0 0 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 3 0 0 0 0 0 7 2 7 6 a 9 6 3 9 b d 6 e 1 0 c 9 1 b b c 2 6 4 a 2 8 4 d 5 4 2 e 7 a c b 3 7 8 0 3 e f 6 a 3 b f 7 e 3 e b 9 c b f 8 2 a 2 d 2 0 a 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 9 0 0 2 0 0 0 6 3 0 0 6 9 0 0 6 6 0 0 7 3 0 0 2 f 0 0 3 1 0 0 3 7 0 0 3 2 0 0 2 e 0 0 3 1 0 0 3 6 0 0 2 e 0 0 3 3 0 0 3 3 0 0 2 e 0 0 3 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 h a s h c a t   - m   5 6 0 0   a d m i n i s t r a t o r : : t e s t : b b 7 e 0 c c e 5 b 7 a 7 1 9 c : 4 0 4 2 6 e 2 e a a 7 d 7 b 4 6 7 8 5 5 b e 0 8 8 1 b 5 d 0 6 9 : 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 f 0 f 6 a e 9 e d 6 0 1 6 1 e 7 5 a b d 9 9 c 8 f d 2 b 0 0 0 0 0 0 0 0 0 2 0 0 0 8 0 0 5 4 0 0 4 5 0 0 5 3 0 0 5 4 0 0 0 1 0 0 0 4 0 0 4 4 0 0 4 3 0 0 0 4 0 0 1 4 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 3 0 0 1 a 0 0 4 4 0 0 4 3 0 0 2 e 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 5 0 0 1 4 0 0 7 4 0 0 6 5 0 0 7 3 0 0 7 4 0 0 2 e 0 0 6 c 0 0 6 f 0 0 6 3 0 0 6 1 0 0 6 c 0 0 0 7 0 0 0 8 0 0 1 1 1 1 f 0 f 6 a e 9 e d 6 0 1 0 6 0 0 0 4 0 0 0 2 0 0 0 0 0 0 0 8 0 0 3 0 0 0 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 3 0 0 0 0 0 7 2 7 6 a 9 6 3 9 b d 6 e 1 0 c 9 1 b b c 2 6 4 a 2 8 4 d 5 4 2 e 7 a c b 3 7 8 0 3 e f 6 a 3 b f 7 e 3 e b 9 c b f 8 2 a 2 d 2 0 a 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 9 0 0 2 0 0 0 6 3 0 0 6 9 0 0 6 6 0 0 7 3 0 0 2 f 0 0 3 1 0 0 3 7 0 0 3 2 0 0 2 e 0 0 3 1 0 0 3 6 0 0 2 e 0 0 3 3 0 0 3 3 0 0 2 e 0 0 3 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   / t m p / p a s s w o r d .
参 考 参 考 1 .   h t t p s : / / p a y l o a d s . o n l i n e / a r c h i v e r s / 2 0 1 8 - 1 1 - 3 0 / 1 2 .   h t t p s : / / d a i k e r . g i t b o o k . i o / w i n d o w s - p r o t o c o l / N T L M - p i a n / 4 3 .   h t t p s : / / 3 g s t u d e n t . g i t h u b . i o / W i n d o w s % E 4 % B 8 % 8 B % E 7 % 9 A % 8 4 % E 5 % A F % 8 6 % E 7 % A 0 % 8 1 H a s h - N T L M - H a s h % E 5 % 9 2 % 8 C N e t - N T L M - H a s h % E 4 % B B % 8 B % E 7 % B B % 8 D / 4 .   h t t p : / / d a v e n p o r t . s o u r c e f o r g e . n e t / N T L M . h t m l 5 .   h t t p s : / / w w w . c n b l o g s . c o m / a r t e c h / a r c h i v e / 2 0 1 1 / 0 1 / 2 5 / N T L M . h t m l 6 .   h t t p s : / / w w w . c n b l o g s . c o m / y u z l y / p / 1 0 4 8 0 4 3 8 . h t m l 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理