Pass-the-Hash

Pass-the-Hash（PtH）は、平文のパスワードではなく、ユーザーのNTLMパスワードハッシュを使って認証する手法です。

WindowsのNTLM認証では、ハッシュ自体が秘密情報として使われるため、そのユーザーとしてログインするためにハッシュをクラッキングする必要はありません。

WindowsはアカウントパスワードをNTLMハッシュ（UTF-16パスワードのMD4）として保存します。NTLM認証では、身元を証明するのはパスワードではなくハッシュです。

この設計上の欠陥により、ハッシュを盗むことは、NTLMベースのログインにおいてパスワードを盗むことと機能的に同等です。

ハッシュは複数の場所から取得できます。

• ローカルマシン上のSAMデータベース。
• ログオン中のユーザーに対応するLSASSプロセスのメモリ。
• ドメインコントローラー上のNTDS.ditファイル。

必要な権限は取得元によって異なりますが、いずれも再利用可能なハッシュを取得できます。

Mimikatzは、LSASSメモリから認証情報を抽出する代表的なツールです。sekurlsa::logonpasswordsコマンドを使うと、現在ログオンしているユーザーのNTLMハッシュが表示されます。

LSASSを読み取るには、ローカル管理者権限（多くの場合はSeDebugPrivilegeも）が必要です。

Impacketのsecretsdump.pyは、有効な認証情報を使ってSAMとドメインデータベースからハッシュをリモートで抽出します。

適切なレプリケーション権限があれば、DCSyncを実行してドメインコントローラーからハッシュを直接取得することもできます。

ハッシュを取得すると、ツールを使ってそれを直接認証に利用できます。Impacketのpsexec.pyは-hashesフラグでハッシュを受け取り、リモートシェルを提供します。

形式はLMHASH:NTHASHです。最新のシステムでは、LM部分は通常ゼロの空値です。

多くのツールがPtHをサポートしています。

• CrackMapExec / NetExec：多数のホストにハッシュをスプレーします。
• evil-winrm：ハッシュを使ってWinRMシェルを取得します。
• wmiexec.py / smbexec.py：別の実行方法を提供します。

1つのローカル管理者ハッシュをサブネット全体にスプレーすると、アクセス範囲を急速に拡大できます。

Pass-the-Hashは、主要なラテラルムーブメント手法です。あるマシンのローカル管理者ハッシュを他のマシンで再利用すると（同じローカル管理者パスワードを共有している場合に問題となります）、攻撃者はホストからホストへ移動できます。

新たに侵入したホストのメモリには、より高い権限を持つユーザーのハッシュが保存されている場合があります。

緩和策には次のものがあります。

• LAPS：マシンごとに一意でランダムなローカル管理者パスワードを設定します。
• Credential Guard：LSASSの秘密情報を分離します。
• 特権アカウントがログインできる場所を制限します（階層化）。
• 可能な場合はNTLMを無効化し、Kerberosを使用します。

Pass-the-Hashには派生手法があります。

• Pass-the-Ticket：盗んだKerberosチケットを再利用します。
• Overpass-the-Hash：NTLMハッシュを使ってKerberos TGTを要求します。

これらは認証情報の再利用をKerberosの領域にまで拡張する手法です。

Pass-the-Hashは、NTLM認証を悪用する手法です。Kerberosを強制し、NTLMを無効化した環境では、攻撃対象領域を大幅に縮小できます。

ただし、互換性のために多くのネットワークではNTLMが残っているため、PtHは依然として広く有効です。このため、NTLMの無効化が推奨されるハードニング対策となっています。

PtHでクラッキングが不要な理由を思い出してください。

これでPass-the-Hashについて理解できました。

• NTLM認証ではハッシュを秘密情報として受け入れるため、クラッキングは不要です。
• ハッシュは、Mimikatzやsecretsdumpを使ってSAM、LSASS、NTDS.ditからダンプします。
• psexec.py、NetExec、evil-winrmなどのツールでハッシュを再利用し、ラテラルムーブメントを行います。
• LAPS、Credential Guard、階層化によって防御します。

次は、BloodHoundで攻撃経路をマッピングします。