Pass-the-Hash

Pass-the-Hash (PtH) adalah teknik yang memungkinkan penyerang melakukan autentikasi menggunakan hash kata sandi NTLM milik pengguna, bukan kata sandi teks biasa.

Karena autentikasi NTLM Windows menggunakan hash itu sendiri sebagai rahasia, Anda tidak perlu memecahkannya untuk masuk sebagai pengguna tersebut.

Windows menyimpan kata sandi akun sebagai hash NTLM (MD4 dari kata sandi UTF-16). Selama autentikasi NTLM, hash, bukan kata sandi, yang membuktikan identitas.

Kelemahan desain ini berarti mencuri hash secara fungsional setara dengan mencuri kata sandi untuk proses masuk berbasis NTLM.

Hash dapat diperoleh dari beberapa tempat:

• Basis data SAM pada mesin lokal.
• Memori proses LSASS untuk pengguna yang sedang masuk.
• File NTDS.dit pada pengendali domain.

Setiap sumber memerlukan hak istimewa yang berbeda, tetapi semuanya menghasilkan hash yang dapat digunakan kembali.

Mimikatz adalah alat klasik untuk mengekstrak kredensial dari memori LSASS. Perintah sekurlsa::logonpasswords menampilkan hash NTLM pengguna yang sedang masuk.

Administrator lokal (dan sering kali SeDebugPrivilege) diperlukan untuk membaca LSASS.

secretsdump.py milik Impacket mengekstrak hash dari SAM dan basis data domain dari jarak jauh menggunakan kredensial yang valid.

Alat ini juga dapat melakukan DCSync untuk menarik hash langsung dari pengendali domain jika Anda memiliki hak replikasi yang sesuai.

Setelah memiliki hash, alat memungkinkan Anda melakukan autentikasi secara langsung dengannya. psexec.py milik Impacket menerima hash melalui tanda -hashes dan memberi Anda shell jarak jauh.

Formatnya adalah LMHASH:NTHASH; bagian LM biasanya berupa nol kosong pada sistem modern.

Banyak alat mendukung PtH:

• CrackMapExec / NetExec: menyebarkan hash ke banyak host.
• evil-winrm: shell WinRM dengan hash.
• wmiexec.py / smbexec.py: metode eksekusi alternatif.

Menyebarkan satu hash administrator lokal ke seluruh subnet dapat memperluas akses dengan cepat.

Pass-the-Hash adalah teknik inti untuk perpindahan lateral. Dengan menggunakan kembali hash administrator lokal dari satu mesin pada mesin lain (masalah yang terjadi ketika kata sandi administrator lokal yang sama digunakan bersama), penyerang berpindah dari satu host ke host berikutnya.

Setiap host baru mungkin menyimpan hash pengguna dengan hak istimewa yang lebih tinggi di dalam memorinya.

Mitigasinya mencakup:

• LAPS: kata sandi administrator lokal yang unik dan acak untuk setiap mesin.
• Credential Guard: mengisolasi rahasia LSASS.
• Membatasi tempat akun dengan hak istimewa dapat masuk (pembagian tingkat).
• Menonaktifkan NTLM dan memilih Kerberos jika memungkinkan.

Pass-the-Hash memiliki teknik yang serupa:

• Pass-the-Ticket: menggunakan kembali tiket Kerberos yang dicuri.
• Overpass-the-Hash: menggunakan hash NTLM untuk meminta TGT Kerberos.

Teknik-teknik ini memperluas penggunaan kembali kredensial ke lingkungan Kerberos.

Pass-the-Hash secara khusus menyalahgunakan autentikasi NTLM. Lingkungan yang mewajibkan Kerberos dan menonaktifkan NTLM akan mengurangi permukaan serangan secara signifikan.

Namun, NTLM masih digunakan di sebagian besar jaringan demi kompatibilitas, sehingga PtH tetap efektif secara luas. Karena itu, menonaktifkan NTLM merupakan langkah penguatan keamanan yang disarankan.

Ingat kembali alasan PtH tidak memerlukan pemecahan hash.

Sekarang Anda memahami Pass-the-Hash:

• Autentikasi NTLM menerima hash sebagai rahasia, sehingga tidak diperlukan pemecahan.
• Hash dibuang dari SAM, LSASS, atau NTDS.dit menggunakan Mimikatz atau secretsdump.
• Alat seperti psexec.py, NetExec, dan evil-winrm menggunakan kembali hash untuk perpindahan lateral.
• Lindungi sistem dengan LAPS, Credential Guard, dan pembagian tingkat.

Berikutnya Anda akan memetakan jalur serangan dengan BloodHound.