Pass-the-Hash

إن Pass-the-Hash (PtH) تقنية يصادق فيها المهاجم باستخدام تجزئة كلمة مرور NTLM الخاصة بالمستخدم بدلًا من كلمة المرور النصية الصريحة.

وبما أن مصادقة Windows عبر NTLM تستخدم التجزئة نفسها باعتبارها السر، فلست بحاجة إلى اختراقها لتسجيل الدخول بصفة ذلك المستخدم.

يخزّن Windows كلمات مرور الحسابات على هيئة NTLM hashes (ناتج MD4 لكلمة المرور بترميز UTF-16). وأثناء مصادقة NTLM، تكون التجزئة، لا كلمة المرور، هي ما يثبت الهوية.

ويعني هذا العيب في التصميم أن سرقة التجزئة تعادل عمليًا سرقة كلمة المرور لعمليات تسجيل الدخول المعتمدة على NTLM.

يمكن جمع التجزئات من عدة أماكن:

• قاعدة بيانات SAM على الأجهزة المحلية.
• ذاكرة عملية LSASS للمستخدمين الذين سجّلوا الدخول.
• ملف NTDS.dit على وحدات التحكم بالمجال.

يتطلب كل مصدر امتيازات مختلفة، لكنها جميعًا توفر تجزئات قابلة لإعادة الاستخدام.

إن Mimikatz أداة كلاسيكية لاستخراج بيانات الاعتماد من ذاكرة LSASS. ويكشف الأمر sekurlsa::logonpasswords تجزئات NTLM للمستخدمين الذين سجّلوا الدخول حاليًا.

يلزم امتلاك صلاحيات المسؤول المحلي (وغالبًا SeDebugPrivilege) لقراءة LSASS.

تستخرج أداة secretsdump.py التابعة لـ Impacket التجزئات عن بُعد من SAM وقاعدة بيانات النطاق باستخدام بيانات اعتماد صالحة.

ويمكنها أيضًا تنفيذ DCSync لسحب التجزئات مباشرةً من وحدة تحكم بالمجال إذا كانت لديك صلاحيات النسخ المتماثل المناسبة.

بعد حصولك على تجزئة، تتيح لك الأدوات المصادقة باستخدامها مباشرةً. تقبل أداة psexec.py التابعة لـ Impacket تجزئةً باستخدام الخيار -hashes، وتمنحك shell عن بُعد.

التنسيق هو LMHASH:NTHASH؛ ويكون جزء LM عادةً أصفارًا فارغة في الأنظمة الحديثة.

تدعم أدوات كثيرة PtH:

• CrackMapExec / NetExec: رش التجزئات عبر العديد من الأجهزة المضيفة.
• evil-winrm: جلسة WinRM باستخدام تجزئة.
• wmiexec.py / smbexec.py: أساليب بديلة للتنفيذ.

يمكن لرش تجزئة مسؤول محلي واحدة عبر شبكة فرعية أن يوسّع نطاق الوصول بسرعة.

يُعد Pass-the-Hash أسلوبًا أساسيًا من أساليب الحركة الجانبية. فمن خلال إعادة استخدام تجزئة المسؤول المحلي لجهاز واحد على أجهزة أخرى (وهي مشكلة عند مشاركة كلمة مرور المسؤول المحلي نفسها)، ينتقل المهاجمون من جهاز إلى آخر.

وقد يحتوي كل جهاز جديد على تجزئات مستخدمين ذوي امتيازات أعلى في الذاكرة.

تشمل إجراءات التخفيف ما يلي:

• LAPS: كلمات مرور عشوائية وفريدة للمسؤول المحلي لكل جهاز.
• Credential Guard: عزل أسرار LSASS.
• تقييد أماكن تسجيل دخول الحسابات ذات الامتيازات (التقسيم إلى مستويات).
• تعطيل NTLM لصالح Kerberos حيثما أمكن.

لدى Pass-the-Hash أساليب مشابهة:

• Pass-the-Ticket: إعادة استخدام تذكرة Kerberos مسروقة.
• Overpass-the-Hash: استخدام تجزئة NTLM لطلب TGT من Kerberos.

وتوسّع هذه الأساليب إعادة استخدام بيانات الاعتماد لتشمل عالم Kerberos.

يستغل Pass-the-Hash مصادقة NTLM تحديدًا. وتقلل البيئات التي تفرض Kerberos وتعطّل NTLM سطح الهجوم بدرجة كبيرة.

ومع ذلك، لا يزال NTLM مستخدمًا في معظم الشبكات لأسباب تتعلق بالتوافق، ولذلك يظل PtH فعالًا على نطاق واسع. ولهذا يُوصى بتعطيل NTLM كخطوة لتعزيز الأمان.

أصبحت الآن تفهم Pass-the-Hash:

• تقبل مصادقة NTLM التجزئة باعتبارها السر، لذلك لا حاجة إلى الاختراق.
• تُستخرج التجزئات من SAM أو LSASS أو NTDS.dit باستخدام Mimikatz أو secretsdump.
• تعيد أدوات مثل psexec.py وNetExec وevil-winrm استخدام التجزئات للحركة الجانبية.
• للدفاع، استخدم LAPS وCredential Guard والتقسيم إلى مستويات.

ستعمل في الخطوة التالية على تحديد مسارات الهجوم باستخدام BloodHound.