Pass-the-Hash

Pass-the-Hash (PtH) to technika, w której atakujący uwierzytelnia się za pomocą hasha hasła użytkownika NTLM, a nie hasła w postaci jawnego tekstu.

Ponieważ uwierzytelnianie Windows NTLM wykorzystuje sam hash jako sekret, nie trzeba go łamać, aby zalogować się jako dany użytkownik.

System Windows przechowuje hasła kont jako hashe NTLM (wartość MD4 hasła w kodowaniu UTF-16). Podczas uwierzytelniania NTLM to hash, a nie hasło, potwierdza tożsamość.

Ta wada konstrukcyjna oznacza, że kradzież hasha jest funkcjonalnie równoważna kradzieży hasła w przypadku logowania opartego na NTLM.

Hashe można pozyskać z kilku miejsc:

• Baza danych SAM na komputerach lokalnych.
• Pamięć procesu LSASS zawierająca dane zalogowanych użytkowników.
• Plik NTDS.dit na kontrolerach domeny.

Każde źródło wymaga innych uprawnień, ale wszystkie dostarczają hashy, których można ponownie użyć.

Mimikatz to klasyczne narzędzie do wyodrębniania poświadczeń z pamięci LSASS. Polecenie sekurlsa::logonpasswords ujawnia hashe NTLM aktualnie zalogowanych użytkowników.

Do odczytu LSASS wymagane są uprawnienia lokalnego administratora (a często także SeDebugPrivilege).

secretsdump.py firmy Impacket zdalnie wyodrębnia hashe z SAM i bazy danych domeny przy użyciu prawidłowych poświadczeń.

Może również wykonać DCSync, aby pobrać hashe bezpośrednio z kontrolera domeny, jeśli ma się odpowiednie uprawnienia do replikacji.

Po uzyskaniu hasha narzędzia pozwalają uwierzytelniać się za jego pomocą bezpośrednio. psexec.py firmy Impacket przyjmuje hash z flagą -hashes i zapewnia zdalną powłokę.

Format to LMHASH:NTHASH; w nowoczesnych systemach część LM jest zwykle wypełniona zerami.

Wiele narzędzi obsługuje PtH:

• CrackMapExec / NetExec: rozpowszechnianie hashy na wielu hostach.
• evil-winrm: powłoka WinRM z użyciem hasha.
• wmiexec.py / smbexec.py: alternatywne metody wykonywania poleceń.

Rozpowszechnienie pojedynczego hasha lokalnego administratora w podsieci może szybko rozszerzyć dostęp.

Pass-the-Hash to podstawowa technika ruchu bocznego. Atakujący ponownie wykorzystują lokalny hash administratora z jednego komputera na innych (co stanowi problem, gdy to samo hasło lokalnego administratora jest współdzielone), przechodząc z hosta na host.

Każdy nowy host może przechowywać w pamięci hashe bardziej uprzywilejowanych użytkowników.

Działania ograniczające ryzyko obejmują:

• LAPS: unikatowe, losowe hasła lokalnego administratora dla każdego komputera.
• Credential Guard: izolowanie sekretów LSASS.
• Ograniczenie miejsc, z których uprzywilejowane konta mogą się logować (segmentacja warstwowa).
• Wyłączenie NTLM na rzecz Kerberos, tam gdzie jest to możliwe.

Pass-the-Hash ma pokrewne techniki:

• Pass-the-Ticket: ponowne użycie skradzionego biletu Kerberos.
• Overpass-the-Hash: użycie hasha NTLM do żądania biletu TGT Kerberos.

Techniki te rozszerzają ponowne użycie poświadczeń na środowisko Kerberos.

Pass-the-Hash wykorzystuje konkretnie uwierzytelnianie NTLM. Środowiska wymuszające Kerberos i wyłączające NTLM znacznie ograniczają powierzchnię ataku.

NTLM pozostaje jednak obecny w większości sieci ze względów zgodności, dlatego PtH nadal jest szeroko skuteczny. Z tego powodu wyłączenie NTLM jest zalecanym krokiem wzmacniania zabezpieczeń.

Przypomnij sobie, dlaczego PtH nie wymaga łamania hasha.

Rozumiesz już Pass-the-Hash:

• Uwierzytelnianie NTLM akceptuje hash jako sekret, więc łamanie nie jest potrzebne.
• Hashe są zrzucane z SAM, LSASS lub NTDS.dit za pomocą Mimikatz albo secretsdump.
• Narzędzia takie jak psexec.py, NetExec i evil-winrm ponownie wykorzystują hashe do ruchu bocznego.
• Obronę zapewniają LAPS, Credential Guard i segmentacja warstwowa.

W następnej części zmapuje Pan/Pani ścieżki ataku za pomocą BloodHound.