搜索

[325] 2020-05-23_概念：LMHash、NTLMHash、Kerberos

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2020-05-23_概念：LMHash、NTLMHash、Kerberos 概 念 ： L M   H a s h 、 N T L M   H a s h 、 K e r b e r o s 原 创   阿 发   a F a 攻 防 实 验 室   2 0 2 0 - 0 5 - 2 3 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 内 网 笔 记 第 四 篇 ， 都 是 概 念 性 东 西 ， 读 起 来 会 很 枯 燥 。 1 ， L M   H a s h 、 N T L M   H a s h 、 K e r b e r o s 等 。 L M   H a s h l m h a s h 全 名 叫 l a n   m a n a g e r   h a s h ， 使 用 的 是 d e s 加 密 ， 具 体 生 成 原 理 可 以 去 搜 相 关 资 料 查 看 。 而 w i n d o w s 存 储 密 码 一 般 是 使 用 的 l m h a s h 和 n t l m h a s h ， 只 不 过 从 v i s t a 和 2 0 0 8 版 本 开 始 l m h a s h 方 式 就 默 认 被 禁 用 了 ， 使 用 了 更 安 全 的 n t l m h a s h 。 我 们 获 取 w i n d o w s 下 的 h a s h 时 结 构 一 般 是 u s e r n a m e : R I D : L M - H A S H : N T - H A S H ， 像 2 0 0 8 以 后 l m h a s h 默 认 被 禁 用 ， 就 会 显 示 a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e （ 表 示 l m h a s h 为 空 或 被 禁 用 ） ， 例 如 使 用 l a z a g n e 获 取 w i n d o w s 的 h a s h ， 长 这 样 ： l m h a s h 也 可 以 启 用 ， 运 行 s e c p o l . s m c 打 开 安 全 策 略 ， 找 到 本 地 策 略 下 面 的 安 全 选 项 下 面 的 网 络 安 全 l a n 项 ， 改 成 禁 用 就 可 以 了 ， 只 不 过 需 要 改 密 码 后 才 能 生 效 ， 了 解 下 即 可 .
N T L M   H a s h n t l m h a s h 从 名 字 上 看 加 了 n t ， n t 代 表 w i n d o w s   n t 新 技 术 ， 使 用 的 是 m d 4 加 密 ， 下 面 看 下 它 的 生 成 原 理 ， 首 先 将 明 文 密 码 转 换 成 十 六 进 制 ， 随 便 在 线 找 个 字 符 串 转 十 六 进 制 的 ， 注 意 是 字 符 串 转 十 六 进 制 ， 不 是 十 进 制 数 字 转 十 六 进 制 ， 这 里 以 1 2 3 4 5 6 为 例 ， 转 完 后 结 果 是 3 1 3 2 3 3 3 4 3 5 3 6 ， 然 后 需 要 转 换 成 u n i c o d e ， 也 就 是 每 两 个 字 节 加 两 个 0 ， 结 果 变 成 了 3 1 0 0 3 2 0 0 3 3 0 0 3 4 0 0 3 5 0 0 3 6 0 0 ， 最 后 给 它 m d 4 处 理 即 可 ， h a s h c a l c 处 理 结 果 ：
d a t a 那 选 h e x ， h m a c 勾 去 掉 ， 选 择 m d 4 进 行 c a l c u l a t e 计 算 即 可 ， 顺 便 记 下 h m a c 的 作 用 ： h m a c ： 是 h a s h - b a s e d   m e s s a g e   a u t h e n t i c a t i o n   c o d e 缩 写 ， 即 h a s h 消 息 验 证 码 ， 相 当 于 网 站 密 码 存 数 据 库 时 加 的 盐 一 样 的 作 用 。 所 以 n t l m h a s h 的 过 程 是 ： 密 码 先 明 文 转 换 成 十 六 进 制 ， 然 后 转 成 u n i c o d e ， 最 后 进 行 m d 4 加 密 。 n t l m 认 证 过 程 n t l m 认 证 用 的 一 种 c h a l l e n g e / r e s p o n s e 模 式 ， 翻 译 过 来 质 询 / 应 答 ， 其 实 就 是 问 问 题 答 问 题 。 它 的 流 程 ： 1 ， 客 户 端 向 服 务 器 发 送 登 录 请 求 ， 登 录 请 求 包 含 明 文 用 户 名 。 服 务 器 上 存 储 了 相 应 的 用 户 名 及 对 应 的 h a s h 。 2 ， 服 务 器 收 到 请 求 后 ， 会 生 成 一 个 随 机 的 1 6 位 随 机 数 （ 这 个 随 机 数 就 是 c h a l l e n g e 质 询 ， 问 问 题 ） 明 文 返 回 客 户 端 。 这 时 候 服 务 器 会 使 用 该 用 户 的 密 码 h a s h 去 加 密 将 要 返 回 的 c h a l l e n g e ， 生 成 一 个 c h a l l e n g e 1 . 3 ， 客 户 端 收 到 了 c h a l l e n g e ， 然 后 使 用 自 己 的 密 码 h a s h 对 c h a l l e n g e 加 密 ， 获 得 了 c h a l l e n g e 2 （ 这 个 c h a l l e n g e 2 就 是 r e s p o n s e 应 答 ， 答 问 题 ） 并 发 送 给 服 务 器 。 4 ， 服 务 器 收 到 c h a l l e n g e 2 后 和 自 己 存 储 的 c h a l l e n g e 1 做 对 比 ， 一 样 的 话 就 代 表 验 证 成 功 。 一 般 在 域 中 ， k e r b e r o s 协 议 用 的 相 对 多 ， 它 比 n t l m 复 杂 些 也 安 全 些 ， 再 看 下 本 地 登 录 ， 在 本 地 登 录 时 ， 操 作 系 统 会 拿 用 户 输 入 的 密 码 去 系 统 中 进 行 校 验 ， 系 统 存 储 密 码 位 置 在 % S y s t e m R o o t % s y s t e m 3 2 c o n f i g s a m ， s a m 相 当 于 是 个 数 据 库 。 s a m 中 存 的 是 用 户 的 n t l m h a s h ， 在 本 地 认 证 过 程 中 ， 其 实 就 是 将 用 户 输 入 的 密 码 转 换 成 n t l m h a s h 然 后 和 s a m 中 的 n t l m h a s h 做 比 较 。 再 看 下 本 地 登 录 的 具 体 过 程 ： 运 行 w i n l o g o n 程 序 （ w i n d o w s 的 登 录 程 序 ） 用 户 输 入 密 码 后 会 将 密 码 提 交 给 l s a s s 进 程 （ 用 于 w i n d o w s 的 安 全 机 制 、 本 地 安 全 和 登 录 策 略 ） ， l s a s s 进 程 会 存 一 份 明 文 密 码 并 加 密 成 n t l m h a s h ， 然 后 和 s a m 数 据 库 做 对 比 。 总 结 就 是 w i n l o g o n . e x e - - 接 收 用 户 密 码 - - l s a s s . e x e - - s a m 校 验 。 N T L M v 1 v 2 、 N e t - N T L M 、 n t d s . d i t
在 上 面 说 到 的 n t l m h a s h 过 程 时 ， 服 务 器 会 随 机 产 生 一 个 随 机 数 ， 如 果 这 个 随 机 数 是 8 位 的 ， 那 就 是 n t l m v 1 ， 如 果 是 1 6 位 那 就 是 n t l m v 2 。 那 什 么 是 n e t - n t l m ， 还 是 上 面 那 个 n t l m h a s h 过 程 ， 服 务 器 生 成 一 个 随 机 数 并 用 相 应 的 n t l m h a s h 对 其 加 密 然 后 返 回 给 客 户 端 ， 这 个 返 回 的 东 西 就 是 n e t - n t l m 。 注 意 区 别 ： n t l m h a s h 存 放 在 安 全 账 户 管 理 数 据 库 中 ， 也 就 是 s a m 中 ， 以 及 域 控 的 n t d s . d i t 数 据 库 中 。 而 n e t - n t l m 是 用 于 网 络 验 证 的 ， 是 通 过 用 户 的 n t l m h a s h 和 相 应 算 法 产 生 的 。 n t d s . d i t ： s a m 是 个 人 信 息 存 储 数 据 库 ， n t d s . d i t 是 域 中 成 员 信 息 存 储 数 据 库 ， 默 认 位 置 在 域 控 的 % S y s t e m R o o t % N T D S 文 件 夹 中 ， 只 能 由 域 控 制 器 进 程 和 协 议 访 问 ， 里 面 包 含 了 当 前 域 中 所 有 用 户 的 信 息 和 h a s h 值 。 k e r b e r o s 内 网 中 会 有 很 多 服 务 ， 例 如 文 件 服 务 器 、 邮 件 服 务 器 、 打 印 机 等 等 ， 他 们 都 需 要 一 个 认 证 ， 但 他 们 本 身 又 不 可 能 都 实 现 一 套 认 证 系 统 ， 而 且 用 户 得 经 常 进 行 登 录 操 作 。 所 以 需 要 一 个 s s o 单 点 登 录 ， 而 k e r b e r o s 是 支 持 的 。 k e r b e r o s 协 议 一 般 用 于 域 中 ， 也 是 一 种 认 证 协 议 ， 比 n t l m h a s h 复 杂 一 些 ， 但 安 全 性 也 会 相 对 提 高 。 n t l m 在 前 期 主 要 用 于 工 作 组 中 ， k e r b e r o s 主 要 用 于 域 中 。 n t l m h a s h 中 涉 及 了 两 个 角 色 ， 一 个 客 户 端 一 个 服 务 端 ， 而 k e r b e r o s 中 会 涉 及 三 个 角 色 ， 增 加 了 一 个 K D C 。 了 解 k e r b e r o s 前 ， 先 看 下 涉 及 到 的 一 些 概 念 ： K D C ： 它 是 K e y   D i s t r i b u t i o n   C e n t e r 的 缩 写 ， 翻 译 为 密 钥 分 发 中 心 ， 字 面 理 解 就 是 发 密 钥 用 的 ， 其 实 这 个 角 色 由 D C 域 控 （ d o m a i n c o n t r o l l e r ） 担 任 。 T i c k e t ： 翻 译 票 的 意 思 ， 术 语 叫 票 据 ， 是 网 络 对 象 互 相 访 问 的 凭 证 。 也 可 以 叫 S T ， 是 s e r v i c e   t i c k e t 的 缩 写 。 T G T ： 它 是 T i c k e t   G r a n t i n g   T i c k e t 的 缩 写 ， 翻 译 为 票 据 授 权 票 据 ， 可 以 把 他 当 作 入 场 券 ， 通 过 入 场 券 可 以 获 取 票 据 ， 相 当 于 一 种 临 时 凭 证 。 K D C 负 责 管 理 票 据 、 认 证 票 据 、 分 发 票 据 ， 但 K D C 它 不 是 一 个 单 独 的 服 务 ， 它 由 以 下 服 务 组 成 （ 也 是 一 些 概 念 ） ： 服 务 1 ： A u t h e n t i c a t i o n   S e r v i c e ： 简 称 A S ， 叫 做 认 证 服 务 ， 主 要 工 作 是 为 客 户 端 生 成 T G T 。 服 务 2 ： T i c k e t   G r a n t i n g   S e r v i c e ： 简 称 T G S ， 叫 做 票 据 授 权 服 务 ， 主 要 工 作 是 为 客 户 端 生 成 某 个 服 务 的 t i c k e t 。 最 后 一 个 概 念 ： 我 们 都 知 道 A D 活 动 目 录 ， 它 存 储 了 很 多 信 息 ， 例 如 用 户 、 用 户 组 、 计 算 机 、 域 、 组 织 单 位 、 安 全 策 略 等 等 。 它 也 提 供 了 一 个 a c c o u n t   d a t a b a s e 账 户 数 据 库 ， 和 本 地 s a m 数 据 库 是 一 个 类 型 ， 也 可 以 简 称 a d ， 注 意 别 和 活 动 目 录 搞 混 。 那 么 a d 数 据 库 在 k e r b e r o s 中 的 作 用 是 什 么 呢 ， 它 存 储 了 客 户 端 的 白 名 单 ， 只 有 存 在 白 名 单 内 的 机 器 才 能 去 申 请 T G T 入 场 券 。 一 共 有 六 个 概 念 ： K D C 、 S T 、 T G T 、 A S 、 T G S 、 A D 。 它 们 的 关 系 ： 首 先 是 K D C 一 个 分 发 中 心 ， 它 里 面 有 两 个 服 务 ， 一 个 A S 认 证 服 务 ， 一 个 T G S 票 据 授 权 服 务 。 A S 认 证 服 务 用 来 发 放 T G T 入 场 券 （ 前 提 是 A D 白 名 单 存 在 该 机 器 ） ， T G S 票 据 授 权 服 务 用 来 发 放 S T 票 据 。 这 里 会 有 一 个 疑 问 ， T G T 票 据 授 权 票 据 这 名 一 直 有 点 绕 ， 而 且 它 和 S T 票 据 是 什 么 关 系 ？ 答 ： S T 票 据 是 具 体 访 问 某 个 服 务 的 通 行 证 ， 它 是 由 T G S 票 据 授 权 服 务 发 放 的 ， 但 T G S 给 你 发 放 票 据 有 个 前 提 就 是 你 需 要 有 T G T 入 场 券 。 没 有 这 个 入 场 券 也 就 是 授 权 票 据 ，
那 代 表 你 没 有 授 权 ， T G S 是 不 会 给 你 发 放 S T 的 。 了 解 上 面 概 念 后 ， 我 们 就 可 以 试 着 去 看 下 k e r b e r o s 的 认 证 流 程 了 ， 这 里 我 们 看 下 它 的 整 个 过 程 ： 1 ， 客 户 端 向 k d c 发 送 请 求 ， 希 望 获 取 s e r v e r 服 务 的 访 问 权 限 ， k d c 中 的 a s 会 首 先 进 行 处 理 ， 验 证 a d 白 名 单 是 否 有 自 己 ， 有 的 话 就 把 t g t 进 行 返 回 。 2 ， 客 户 端 收 到 t g t 后 ， 继 续 向 k d c 发 送 请 求 ， 还 是 希 望 获 取 s e r v e r 服 务 的 访 问 权 限 ， k d c 一 看 请 求 消 息 中 有 t g t ， 那 就 会 让 t g s 进 行 相 应 的 处 理 ， t g s 会 返 回 s t 给 自 己 。 3 ， 客 户 端 得 到 t i c k e t 后 ， 就 可 以 访 问 s e r v e r 了 ， 这 里 的 t i c k e t 票 据 只 针 对 当 前 的 这 个 s e r v e r ， 其 他 s e r v e r 依 然 需 要 向 t g s 申 请 。 上 面 简 要 流 程 中 需 要 注 意 ， 客 户 端 访 问 其 他 s e r v e r 时 依 然 需 要 向 t g s 申 请 ， 会 直 接 到 第 二 步 ， 而 不 再 进 行 第 一 步 的 验 证 ， 因 为 t g s 授 权 票 据 存 在 一 个 有 效 期 ， 有 效 期 内 不 需 要 向 a s 发 请 求 ， 如 果 失 效 ， 则 就 是 第 一 步 开 始 从 新 验 证 。 至 于 有 效 期 看 域 内 的 安 全 策 略 设 置 ， 默 认 是 8 小 时 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理