搜索

[21339] 2020-10-24_传递哈希攻击的原理介绍

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-10-24_传递哈希攻击的原理介绍 传 递 哈 希 攻 击 的 原 理 介 绍 嘶 吼 专 业 版   L e m o n S e c   2 0 2 0 - 1 0 - 2 4 在 渗 透 测 试 期 间 ， 为 了 提 高 审 核 员 对 信 息 系 统 的 权 限 ， 很 多 人 都 会 选 择 横 向 移 动 方 法 。 在 这 种 情 况 下 ， 称 为 P a s s   T h e   H a s h （ 传 递 哈 希 ） 的 技 术 被 广 泛 应 用 ， 使 审 核 员 成 为 计 算 机 上 的 管 理 员 。 N T L M 协 议 协 议 N T L M 协 议 是 在 M i c r o s o f t 环 境 中 使 用 的 一 种 身 份 验 证 协 议 ， 特 别 是 ， 它 允 许 用 户 向 服 务 器 证 明 自 己 是 谁 ， 以 便 使 用 该 服 务 器 提 供 的 服 务 。 注 意 ： 在 本 文 中 ， 术 语 “ 服 务 器 ” 是 在 客 户 端 / 服 务 器 意 义 上 使 用 的 ， “ 服 务 器 ” 很 可 能 是 一 个 工 作 站 。 有 两 种 可 能 的 情 况 ： 1 .   用 户 使 用 服 务 器 的 本 地 帐 户 的 凭 据 ， 在 这 种 情 况 下 ， 服 务 器 在 其 本 地 数 据 库 中 便 含 有 用 户 的 秘 密 ， 将 能 够 对 用 户 进 行 身 份 验 证 。 2 .   在 A c t i v e   D i r e c t o r y 环 境 中 ， 用 户 在 身 份 验 证 期 间 使 用 域 帐 户 ， 在 这 种 情 况 下 ， 服 务 器 必 须 要
求 域 控 制 器 验 证 用 户 提 供 的 信 息 。 在 这 两 种 情 况 下 ， 身 份 验 证 都 是 从 客 户 端 和 服 务 器 之 间 的 挑 战 / 响 应 阶 段 开 始 的 。 挑 战 挑 战 / 响 应 响 应 使 用 挑 战 / 响 应 原 则 ， 以 便 服 务 器 验 证 用 户 是 否 知 道 他 正 在 验 证 的 帐 户 的 秘 密 ， 而 不 需 要 通 过 网 络 传 递 密 码 。 这 被 称 为 零 知 识 证 明 。 整 个 过 程 分 3 步 ： 1 . 协 商 ： 客 户 端 告 诉 服 务 器 它 想 要 对 其 进 行 身 份 验 证 ( N E G O T I A T E _ M E S S A G E ) 。 2 . 挑 战 ： 服 务 器 向 客 户 端 发 送 一 个 挑 战 。 这 只 不 过 是 一 个 6 4 位 的 随 机 值 ， 随 每 个 身 份 验 证 请 求 而 变 化 ( C H A L L E N G E _ M E S S A G E ) 。 3 . 响 应 ： 客 户 端 使 用 其 密 码 的 哈 希 版 本 作 为 密 钥 加 密 先 前 接 收 到 的 挑 战 ， 并 将 此 加 密 版 本 连 同 其 用 户 名 和 域 ( A U T H E N T I C A T E _ M E S S A G E ) 返 回 给 服 务 器 。 你 可 以 看 到 用 户 管 理 员 试 图 连 接 到 计 算 机 L K A P P 0 1 . l i o n . k i n g 。 N T L M 交 换 框 顶 部 是 红 色 的 ， 底 部 是 服 务 器 响 应 C H A L L E N G E _ M E S S A G E 中 包 含 的 信 息 。 在 这 些 交 换 之 后 ， 服 务 器 拥 有 两 件 东 西 ：
1 .   发 送 给 客 户 端 的 挑 战 ； 2 .   客 户 端 的 响 应 被 自 身 的 秘 密 加 密 了 。 要 完 成 身 份 验 证 ， 服 务 器 只 需 检 查 客 户 端 发 送 的 响 应 的 有 效 性 。 但 在 那 之 前 ， 让 我 们 来 检 查 一 下 客 户 的 秘 密 。 身 份 验 证 的 秘 密 身 份 验 证 的 秘 密 我 们 说 过 ， 客 户 端 使 用 一 个 哈 希 版 本 的 密 码 作 为 密 钥 ， 原 因 如 下 ： 为 了 避 免 在 服 务 器 上 以 明 文 形 式 存 储 用 户 密 码 ， 它 是 存 储 的 密 码 的 哈 希 值 。 现 在 ， 此 哈 希 是 N T 哈 希 ， 它 不 过 是 M D 4 函 数 的 结 果 ， 不 含 盐 值 。 N T h a s h   =   M D 4 ( p a s s w o r d ) 综 上 所 述 ， 当 客 户 端 进 行 身 份 验 证 时 ， 它 使 用 其 密 码 的 M D 4 指 纹 来 加 密 挑 战 。 然 后 ， 让 我 们 看 看 接 收 到 此 响 应 后 服 务 器 端 会 发 生 什 么 。 身 份 验 证 身 份 验 证 如 前 所 述 ， 有 两 种 不 同 的 身 份 验 证 情 况 。 首 先 ， 用 于 身 份 验 证 的 帐 户 是 一 个 本 地 帐 户 ， 因 此 服 务 器 知 道 这 个 帐 户 ， 并 拥 有 该 帐 户 的 秘 密 副 本 。 第 二 种 是 使 用 域 帐 户 ， 在 这 种 情 况 下 服 务 器 不 知 道 这 个 帐 户 或 它 的 秘 密 ， 它 必 须 将 身 份 验 证 委 托 给 域 控 制 器 。 本 地 帐 户 本 地 帐 户 在 使 用 本 地 帐 户 进 行 身 份 验 证 的 情 况 下 ， 服 务 器 将 使 用 用 户 的 密 钥 ( 更 确 切 地 说 是 用 户 秘 密 的 M D 4 哈 希 )   对 发 送 给 客 户 端 的 挑 战 进 行 加 密 。 然 后 ， 它 将 检 查 其 操 作 的 结 果 是 否 等 于 客 户 端 的 响 应 ， 从 而 证 明 用 户 拥 有 正 确 的 秘 密 。 如 果 没 有 ， 则 用 户 使 用 的 密 钥 不 是 正 确 的 ， 因 为 挑 战 的 加 密 没 有 给 出 预 期 的 密 钥 。
为 了 执 行 此 操 作 ， 服 务 器 需 要 存 储 本 地 用 户 及 其 密 码 的 哈 希 。 这 个 数 据 库 的 名 称 是 S A M ( 安 全 帐 户 管 理 器 ) 。 可 以 在 注 册 表 中 找 到 S A M ， 特 别 是 使 用 r e g e d i t 工 具 时 ， 但 只 能 作 为 系 统 访 问 。 不 过 ， 还 可 以 使 用 p s e x e c 打 开 ： p s e x e c . e x e   - i   - s   r e g e d i t . e x e 副 本 也 位 于 C : W i n d o w s S y s t e m 3 2 S A M 的 磁 盘 上 ， 因 此 ， 它 包 含 本 地 用 户 列 表 及 其 哈 希 密 码 ， 以 及 本 地 组 列 表 。 更 准 确 地 说 ， 它 包 含 了 哈 希 的 加 密 版 本 。 但 是 ， 由 于 解 密 它 们 所 需 的 所 有 信 息 也 在 注 册 表 ( S A M 和 S Y S T E M ) 中 ， 所 以 我 们 可 以 肯 定 地 说 哈 希 存 储 在 其 中 。 如 果 你 想 了 解 解 密 机 制 是 如 何 工 作 的 ， 你 可 以 查 看 s e c r e t s d u m p . p y 代 码 或 M i m i k a t z 代 码 。 可 以 备 份 S A M 和 S Y S T E M 数 据 库 ， 以 提 取 用 户 的 哈 希 密 码 数 据 库 。 首 先 ， 我 们 将 两 个 数 据 库 保 存 在 一 个 文 件 中 。 r e g . e x e   s a v e   h k l m s a m   s a v e . s a v e r e g . e x e   s a v e   h k l m s y s t e m   s y s t e m . s a v e 然 后 ， 我 们 可 以 使 用 s e c r e t s d u m p . p y 来 提 取 这 些 哈 希 。 s e c r e t s d u m p . p y   - s a m   s a m . s a v e   - s y s t e m   s y s t e m . s a v e   L O C A L
以 上 就 是 整 个 验 证 过 程 。 由 于 服 务 器 发 送 了 挑 战 （ 1 ） ， 并 且 客 户 端 使 用 其 秘 密 的 哈 希 值 对 该 挑 战 进 行 加 密 ， 然 后 使 用 其 用 户 名 （ 2 ） 将 其 发 送 回 服 务 器 ， 因 此 服 务 器 将 在 其 S A M 中 查 找 用 户 密 码 的 哈 希 值 数 据 库 （ 3 ） 。 收 到 挑 战 后 ， 它 还 将 加 密 先 前 使 用 此 哈 希 （ 4 ） 发 送 的 挑 战 ， 并 将 其 结 果 与 用 户 返 回 的 挑 战 进 行 比 较 。 如 果 相 同 （ 5 ） ， 则 说 明 用 户 已 通 过 身 份 验 证 ！ 否 则 ， 用 户 没 有 提 供 正 确 的 秘 密 。 域 帐 户 域 帐 户 当 使 用 域 帐 户 进 行 身 份 验 证 时 ， 用 户 的 N T 哈 希 不 再 存 储 在 服 务 器 上 ， 而 是 存 储 在 域 控 制 器 上 。 用 户 希 望 对 其 进 行 身 份 验 证 的 服 务 器 接 收 其 挑 战 的 答 案 ， 但 无 法 检 查 该 答 案 是 否 有 效 。 它 将 把 这 个 任 务 委 托 给 域 控 制 器 。 为 此 ， 它 将 使 用 N e t l o g o n 服 务 ， 该 服 务 能 够 与 域 控 制 器 建 立 安 全 连 接 。 此 安 全 连 接 称 为 安 全 通 道 ， 之 所 以 可 以 进 行 这 种 安 全 连 接 ， 是 因 为 服 务 器 知 道 自 己 的 密 码 ， 而 域 控 制 器 也 知 道 服 务 器 密 码 的 哈 希 值 ， 他 们 可 以 安 全 地 交 换 会 话 密 钥 并 安 全 地 进 行 通 信 。 我 不 会 详 细 介 绍 ， 但 是 想 法 是 服 务 器 将 以 N E T L O G O N _ N E T W O R K _ I N F O 的 结 构 将 不 同 的 元 素 发 送 到 域 控 制 器 ： 1 .   客 户 端 的 用 户 名 ( I d e n t i t y ) ；
2 .   先 前 发 送 给 客 户 端 的 挑 战 ( L m C h a l l e n g e ) ； 3 .   客 户 端 发 送 的 对 挑 战 的 响 应 ( N t C h a l l e n g e R e s p o n s e ) 。 域 控 制 器 将 在 其 数 据 库 中 查 找 用 户 的 N T 哈 希 ， 对 于 域 控 制 器 ， 它 不 在 S A M 中 ， 因 为 它 是 一 个 试 图 进 行 身 份 验 证 的 域 帐 户 。 这 次 它 位 于 一 个 名 为 N T D S . D I T 的 文 件 中 ， 该 文 件 是 所 有 域 用 户 的 数 据 库 。 检 索 N T 哈 希 后 ， 它 将 使 用 该 哈 希 和 挑 战 计 算 预 期 的 响 应 ， 并 将 此 结 果 与 客 户 的 响 应 进 行 比 较 。 然 后 ， 一 条 消 息 将 被 发 送 到 服 务 器 ( N E T L O G O N _ V A L I D A T I O N _ S A M _ I N F O 4 ) ， 指 示 客 户 端 是 否 经 过 身 份 验 证 ， 它 还 将 发 送 一 组 关 于 用 户 的 信 息 。 这 与 使 用 K e r b e r o s 身 份 验 证 时 在 P A C 中 发 现 的 信 息 相 同 。 以 下 就 是 一 个 域 控 制 器 的 验 证 过 程 ： 与 以 前 一 样 ， 服 务 器 发 送 挑 战 （ 1 ） ， 客 户 端 使 用 其 秘 密 的 哈 希 值 对 该 挑 战 进 行 加 密 ， 并 将 其 连 同 用 户 名 和 域 名 一 起 发 送 回 服 务 器 （ 2 ） 。 这 次 服 务 器 将 使 用 N e t l o g o n 服 务 （ 3 ） 在 安 全 通 道 中 将 此 信 息 发 送 到 域 控 制 器 。 掌 握 了 这 些 信 息 后 ， 域 控 制 器 还 将 使 用 在 其 N T D S . D I T 数 据 库 （ 4 ） 中 找 到 的 用 户 哈 希 来 对 挑 战 进 行 加 密 ， 然 后 将 其 结 果 与 用 户 返 回 的 结 果 进 行 比 较 。 如 果 相 同 （ 5 ） ， 则 对 用 户 进 行 身 份 验 证 。 否 则 ， 用 户 未 提 供 正 确 的 秘 密 。 在 这 两 种 情 况 下 ， 域 控 制 器 都 将 信 息 发 送 到 服 务 器 （ 6 ） 。 N T 哈 希 的 安 全 隐 患 哈 希 的 安 全 隐 患 在 这 些 交 换 中 从 来 不 使 用 明 文 密 码 ， 而 是 使 用 名 为 N T 哈 希 的 哈 希 密 码 ， 它 是 明 文 密 码 的 简 单
哈 希 。 仔 细 想 想 ， 窃 取 明 文 密 码 或 窃 取 哈 希 值 是 完 全 相 同 的 。 因 为 它 是 用 来 响 应 挑 战 / 响 应 的 哈 希 ， 所 以 拥 有 该 哈 希 可 以 对 服 务 器 进 行 身 份 验 证 。 因 此 ， 将 密 码 以 明 文 显 示 根 本 没 用 。 可 以 这 么 说 ， 在 大 多 数 情 况 下 ， 使 用 N T 哈 希 与 使 用 明 文 密 码 是 一 样 的 。 传 递 哈 希 传 递 哈 希 如 果 攻 击 者 知 道 一 台 计 算 机 的 本 地 管 理 员 的 N T 哈 希 ， 那 么 他 可 以 使 用 这 个 哈 希 轻 松 地 对 该 计 算 机 进 行 身 份 验 证 。 类 似 地 ， 如 果 他 拥 有 主 机 上 本 地 管 理 组 成 员 的 域 用 户 的 N T 哈 希 ， 他 也 可 以 作 为 本 地 管 理 员 向 该 主 机 进 行 身 份 验 证 。 本 地 管 理 员 本 地 管 理 员 现 在 ， 让 我 们 看 看 它 在 实 际 环 境 中 是 如 何 工 作 的 ： 一 名 新 员 工 来 到 公 司 ， 公 司 为 他 / 她 提 供 了 一 个 工 作 站 。 I T 部 门 没 有 足 够 的 时 间 为 每 个 员 工 从 头 安 装 和 配 置 W i n d o w s 系 统 。 因 此 ， 先 设 置 一 个 安 装 和 配 置 W i n d o w s 系 统 的 版 本 ， 以 满 足 一 个 新 员 工 的 所 有 基 本 需 求 和 要 求 。 然 后 ， 这 个 称 为 m a s t e r 的 基 本 版 本 保 存 在 某 处 ， 并 且 该 版 本 的 副 本 提 供 给 每 个 新 手 。 这 意 味 着 ， 本 地 管 理 员 帐 户 在 所 有 使 用 相 同 主 服 务 器 初 始 化 的 工 作 站 中 是 相 同 的 。 如 果 其 中 一 台 主 机 被 破 坏 ， 并 且 攻 击 者 从 工 作 站 的 本 地 管 理 员 帐 户 提 取 N T 哈 希 ， 因 为 所 有 其 他 工 作 站 都 具 有 相 同 的 管 理 员 帐 户 和 相 同 的 密 码 ， 那 么 它 们 也 将 具 有 相 同 的 N T 哈 希 。 然 后 ， 攻 击 者 可 以 使 用 在 受 损 主 机 上 找 到 的 哈 希 ， 并 在 所 有 其 他 主 机 上 重 播 该 哈 希 ， 以 便 在 这 些 主 机 上 进 行 身 份 验 证 ， 以 上 的 整 个 过 程 就 叫 做 传 递 哈 希 。
例 如 ， 我 们 发 现 用 户 管 理 员 的 N T 哈 希 是 2 0 c c 6 5 0 a 5 a c 2 7 6 a 1 c f c 2 2 f b c 2 3 b e a d a 1 。 我 们 可 以 在 另 一 台 计 算 机 上 重 播 它 ， 并 希 望 这 台 计 算 机 以 同 样 的 方 式 配 置 。 以 下 示 例 使 用 来 自 I m p a c k e t 套 件 的 p s e x e c . p y 工 具 ： 没 错 ， 这 个 哈 希 也 可 以 在 新 主 机 上 使 用 ， 而 且 我 们 在 它 上 面 有 一 个 管 理 员 s h e l l 。 特 权 域 帐 户 特 权 域 帐 户 还 有 另 一 种 使 用 传 递 哈 希 技 术 的 方 法 ， 假 设 对 于 远 程 公 园 管 理 ， 在 A c t i v e   D i r e c t o r y 中 有 一 个 “ H e l p D e s k ” 组 。 为 了 使 该 组 的 成 员 能 够 管 理 用 户 的 工 作 站 ， 将 该 组 添 加 到 每 个 主 机 的 本 地 “ A d m i n i s t r a t o r s ” 组 中 。 此 时 ， 这 个 本 地 组 包 含 在 计 算 机 上 具 有 管 理 权 限 的 所 有 对 象 中 。 你 可 以 使 用 以 下 命 令 列 出 它 们 ： #   M a c h i n e   f r a n ç a i s e n e t   l o c a l g r o u p   A d m i n i s t r a t e u r s
#   ~ R e s t e   d u   m o n d e n e t   l o c a l g r o u p   A d m i n i s t r a t o r s 结 果 将 是 这 样 的 ： N o m   a l i a s               A d m i n i s t r a t e u r C o m m e n t a i r e           L e s   m e m b r e s   d u   g r o u p e   A d m i n i s t r a t e u r s   d i s p o s e n t   d ' u n   a c c è s   c o m p l e t   e t   i l l i m i t é à   l ' o r d i n a t e u r   e t   a u   d o m a i n e M e m b r e s - - - - - - - - - - - - - - - - - - - - - - - - - A d m i n i s t r a t e u r A D S E C A d m i n s   d u   d o m a i n e A D S E C H e l p D e s k 因 此 ， 我 们 拥 有 A D S E C     H e l p D e s k 域 组 ， 该 域 组 是 主 机 的 本 地 管 理 员 组 的 成 员 。 如 果 攻 击 者 从 该 组 中 的 一 个 成 员 那 里 窃 取 了 N T 哈 希 ， 则 他 可 以 使 用 管 理 员 列 表 中 的 A D S E C     H e l p D e s k 在 所 有 主 机 上 进 行 身 份 验 证 。 与 本 地 帐 户 相 比 ， 其 优 势 在 于 ， 无 论 使 用 什 么 主 机 来 设 置 计 算 机 ， G P O 都 会 将 该 组 添 加 到 主 机 的 配 置 中 。 该 帐 户 具 有 更 广 泛 的 管 理 权 限 的 可 能 性 更 大 ， 而 与 操 作 系 统 和 计 算 机 设 置 过 程 无 关 。 因 此 ， 当 请 求 身 份 验 证 时 ， 服 务 器 会 将 身 份 验 证 委 派 给 域 控 制 器 ， 如 果 身 份 验 证 成 功 ， 则 域 控 制 器 将 向 服 务 器 发 送 有 关 用 户 的 信 息 ， 例 如 用 户 名 ， 用 户 所 属 的 组 列 表 ， 密 码 到 期 日 期 等 。 然 后 ， 服 务 器 将 知 道 该 用 户 是 H e l p D e s k 组 的 一 部 分 ， 并 向 该 用 户 授 予 管 理 员 访 问 权 限 。 另 一 个 示 例 ： 我 们 发 现 用 户 j s n o w 的 N T 哈 希 为 8 9 d b 9 c d 7 4 1 5 0 f c 8 d 8 5 5 9 c 3 c 1 9 7 6 8 c a 3 f 。 此 帐 户 是 H e l p D e s k 组 的 一 部 分 ， 该 组 是 所 有 用 户 工 作 站 的 本 地 管 理 员 ， 让 我 们 在 另 一 台 主 机 上 使 用 他 的 哈 希 。 同 样 ， 身 份 验 证 成 功 了 ， 我 们 成 为 了 目 标 设 备 的 管 理 员 。
自 动 化 自 动 化 既 然 我 们 已 经 了 解 了 N T L M 身 份 验 证 的 工 作 方 式 ， 以 及 为 什 么 可 以 使 用 N T 哈 希 对 其 他 主 机 进 行 身 份 验 证 ， 那 么 通 过 并 行 化 任 务 来 自 动 对 不 同 目 标 进 行 身 份 验 证 以 获 取 尽 可 能 多 的 信 息 将 是 非 常 有 用 的 。 在 此 ， 我 建 议 使 用 C r a c k M a p E x e c 工 具 。 #   C o m p t e   l o c a l   d ' a d m i n i s t r a t i o n c r a c k m a p e x e c   s m b   - - l o c a l - a u t h   - u   A d m i n i s t r a t e u r   - H   2 0 c c 6 5 0 a 5 a c 2 7 6 a 1 c f c 2 2 f b c 2 3 b e a d a 1 1 0 . 1 0 . 0 . 1   - x   w h o a m i #   C o m p t e   d e   d o m a i n e c r a c k m a p e x e c   s m b   - u   j s n o w   - H   8 9 d b 9 c d 7 4 1 5 0 f c 8 d 8 5 5 9 c 3 c 1 9 7 6 8 c a 3 f   - d   a d s e c . l o c a l     1 0 . 1 0 . 0 . 1   - x   w h o a m i 以 下 就 是 以 s i m b a 用 户 为 管 理 员 的 示 例 说 明 ： 传 递 哈 希 是 在 一 些 计 算 机 上 执 行 ， 然 后 计 算 机 随 后 遭 到 破 坏 。 已 经 向 C r a c k M a p E x e c 传 递 了 一 个 参 数 ， 来 列 出 当 前 登 录 到 这 些 计 算 机 上 的 用 户 。 拥 有 连 接 的 用 户 列 表 很 好 ， 但 是 拥 有 他 们 的 密 码 或 N T 哈 希 会 更 好 ! 为 此 ， 我 开 发 了 l s a s s y ， — — 远 程 提 取 l s a s s 秘 密 的 工 具 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理