Pass-the-Hash

Pass-the-Hash (PtH) ialah teknik yang membolehkan penyerang mengesahkan identiti menggunakan cincangan kata laluan NTLM pengguna dan bukannya kata laluan teks biasa.

Oleh sebab pengesahan NTLM Windows menggunakan cincangan itu sendiri sebagai rahsia, anda tidak perlu memecahkannya untuk log masuk sebagai pengguna tersebut.

Windows menyimpan kata laluan akaun sebagai cincangan NTLM (MD4 bagi kata laluan UTF-16). Semasa pengesahan NTLM, cincangan, bukannya kata laluan, digunakan untuk membuktikan identiti.

Kecacatan reka bentuk ini bermakna mencuri cincangan pada dasarnya sama seperti mencuri kata laluan untuk log masuk berasaskan NTLM.

Cincangan boleh diperoleh dari beberapa lokasi:

• Pangkalan data SAM pada mesin tempatan.
• Memori proses LSASS bagi pengguna yang telah log masuk.
• Fail NTDS.dit pada pengawal domain.

Setiap sumber memerlukan keistimewaan yang berbeza, tetapi semuanya menghasilkan cincangan yang boleh digunakan semula.

Mimikatz ialah alat klasik untuk mengekstrak kelayakan daripada memori LSASS. Perintah sekurlsa::logonpasswords mendedahkan cincangan NTLM bagi pengguna yang sedang log masuk.

Pentadbir tempatan (dan selalunya SeDebugPrivilege) diperlukan untuk membaca LSASS.

secretsdump.py milik Impacket mengekstrak cincangan dari jauh daripada SAM dan pangkalan data domain menggunakan kelayakan yang sah.

Alat ini juga boleh melakukan DCSync untuk mengambil cincangan terus daripada pengawal domain jika anda mempunyai hak replikasi yang betul.

Selepas memperoleh cincangan, alat membolehkan anda mengesahkan identiti menggunakannya secara terus. psexec.py milik Impacket menerima cincangan dengan bendera -hashes dan memberikan anda cangkerang jauh.

Formatnya ialah LMHASH:NTHASH; bahagian LM biasanya berupa sifar kosong pada sistem moden.

Banyak alat menyokong PtH:

• CrackMapExec / NetExec: menyebarkan cincangan merentasi banyak hos.
• evil-winrm: cangkerang WinRM dengan cincangan.
• wmiexec.py / smbexec.py: kaedah pelaksanaan alternatif.

Menyebarkan satu cincangan pentadbir tempatan merentasi subnet boleh meluaskan akses dengan pantas.

Pass-the-Hash ialah teknik teras untuk pergerakan sisi. Dengan menggunakan semula cincangan pentadbir tempatan sebuah mesin pada mesin lain (masalah yang berlaku apabila kata laluan pentadbir tempatan yang sama dikongsi), penyerang bergerak dari satu hos ke hos yang lain.

Setiap hos baharu mungkin menyimpan cincangan pengguna yang lebih berkeistimewaan dalam memorinya.

Langkah pengurangan risiko termasuk:

• LAPS: kata laluan pentadbir tempatan yang unik dan rawak bagi setiap mesin.
• Credential Guard: mengasingkan rahsia LSASS.
• Mengehadkan lokasi akaun berkeistimewaan boleh log masuk (pengelasan peringkat).
• Melumpuhkan NTLM dan memilih Kerberos jika boleh.

Pass-the-Hash mempunyai teknik yang seumpama dengannya:

• Pass-the-Ticket: menggunakan semula tiket Kerberos yang dicuri.
• Overpass-the-Hash: menggunakan cincangan NTLM untuk meminta TGT Kerberos.

Teknik ini meluaskan penggunaan semula kelayakan ke dalam dunia Kerberos.

Pass-the-Hash menyalahgunakan pengesahan NTLM secara khusus. Persekitaran yang menguatkuasakan Kerberos dan melumpuhkan NTLM mengurangkan permukaan serangan dengan ketara.

Namun begitu, NTLM masih digunakan dalam kebanyakan rangkaian atas sebab keserasian, jadi PtH masih berkesan secara meluas. Oleh itu, melumpuhkan NTLM ialah langkah pengerasan yang disyorkan.

Anda kini memahami Pass-the-Hash:

• Pengesahan NTLM menerima cincangan sebagai rahsia, jadi pemecahan tidak diperlukan.
• Cincangan dibuang daripada SAM, LSASS atau NTDS.dit menggunakan Mimikatz atau secretsdump.
• Alat seperti psexec.py, NetExec dan evil-winrm menggunakan semula cincangan untuk pergerakan sisi.
• Lindungi sistem dengan LAPS, Credential Guard dan pengelasan peringkat.

Seterusnya, anda akan memetakan laluan serangan dengan BloodHound.