Pass-the-Hash

Pass-the-Hash (PtH) er en teknik, hvor en angriber godkender sig ved hjælp af en brugers NTLM-adgangskode-hash i stedet for adgangskoden i klartekst.

Fordi Windows' NTLM-godkendelse bruger selve hashen som hemmelighed, behøver du aldrig knække den for at logge ind som brugeren.

Windows gemmer kontoadgangskoder som NTLM-hashes (en MD4-hash af adgangskoden i UTF-16). Under NTLM-godkendelse er det hashen, ikke adgangskoden, der beviser identiteten.

Denne designfejl betyder, at tyveri af hashen funktionelt svarer til tyveri af adgangskoden ved NTLM-baserede logins.

Hashes kan indsamles fra flere steder:

• SAM-databasen på lokale maskiner.
• LSASS-processens hukommelse for brugere, der er logget på.
• NTDS.dit-filen på domænecontrollere.

Hver kilde kræver forskellige privilegier, men alle giver hashes, der kan genbruges.

Mimikatz er det klassiske værktøj til at udtrække legitimationsoplysninger fra LSASS-hukommelsen. Kommandoen sekurlsa::logonpasswords viser NTLM-hashes for brugere, der aktuelt er logget på.

Du skal have lokal administratoradgang og ofte også SeDebugPrivilege for at læse LSASS.

Impacket's secretsdump.py udtrækker hashes eksternt fra SAM og domænedatabasen ved hjælp af gyldige legitimationsoplysninger.

Det kan også udføre en DCSync for at hente hashes direkte fra en domænecontroller, hvis du har de nødvendige replikeringsrettigheder.

Når du har en hash, kan værktøjer lade dig godkende dig direkte med den. Impacket's psexec.py accepterer en hash med flaget -hashes og giver dig en ekstern shell.

Formatet er LMHASH:NTHASH; LM-delen består normalt af tomme nuller på moderne systemer.

Mange værktøjer understøtter PtH:

• CrackMapExec / NetExec: spreder hashes på mange værter.
• evil-winrm: WinRM-shell med en hash.
• wmiexec.py / smbexec.py: alternative metoder til kørsel.

Hvis du spreder en enkelt lokal administratorhash på tværs af et undernet, kan du hurtigt udvide din adgang.

Pass-the-Hash er en central teknik til lateral bevægelse. Ved at genbruge en maskines lokale administratorhash på andre maskiner, hvilket er et problem, når den samme lokale administratoradgangskode deles, kan angribere bevæge sig fra vært til vært.

Hver ny vært kan indeholde hashes for mere privilegerede brugere i hukommelsen.

Modforanstaltninger omfatter:

• LAPS: unikke, tilfældige lokale administratoradgangskoder pr. maskine.
• Credential Guard: isolerer hemmeligheder i LSASS.
• Begrænsning af, hvor privilegerede konti må logge på (tiering).
• Deaktivering af NTLM til fordel for Kerberos, hvor det er muligt.

Pass-the-Hash har beslægtede teknikker:

• Pass-the-Ticket: genbrug af en stjålet Kerberos-billet.
• Overpass-the-Hash: brug af en NTLM-hash til at anmode om en Kerberos-TGT.

Disse teknikker udvider genbrug af legitimationsoplysninger til Kerberos-verdenen.

Pass-the-Hash misbruger specifikt NTLM-godkendelse. Miljøer, der håndhæver Kerberos og deaktiverer NTLM, reducerer angrebsfladen betydeligt.

NTLM findes dog stadig i de fleste netværk af hensyn til kompatibilitet, så PtH er fortsat bredt effektivt. Derfor anbefales deaktivering af NTLM som et hærdningstrin.

Du forstår nu Pass-the-Hash:

• NTLM-godkendelse accepterer hashen som hemmelighed, så knækning er ikke nødvendig.
• Hashes dumpes fra SAM, LSASS eller NTDS.dit ved hjælp af Mimikatz eller secretsdump.
• Værktøjer som psexec.py, NetExec og evil-winrm genbruger hashes til lateral bevægelse.
• Forsvar dig med LAPS, Credential Guard og tiering.

Nu skal du kortlægge angrebsstier med BloodHound.