Pass-the-Hash

Pass-the-Hash (PtH) — это метод, при котором злоумышленник проходит аутентификацию с помощью хеша пароля NTLM пользователя вместо пароля в открытом виде.

Поскольку при аутентификации Windows через NTLM сам хеш используется как секрет, для входа от имени пользователя не нужно его взламывать.

Windows хранит пароли учетных записей в виде хешей NTLM (MD4-хеш пароля UTF-16). Во время аутентификации NTLM именно хеш, а не пароль подтверждает личность.

Этот недостаток архитектуры означает, что кража хеша функционально равносильна краже пароля для входа на основе NTLM.

Хеши можно получить из нескольких источников:

• База данных SAM на локальных компьютерах.
• Память процесса LSASS для вошедших в систему пользователей.
• Файл NTDS.dit на контроллерах домена.

Для каждого источника требуются разные привилегии, но все они предоставляют пригодные для повторного использования хеши.

Mimikatz — классический инструмент для извлечения учетных данных из памяти LSASS. Команда sekurlsa::logonpasswords показывает хеши NTLM пользователей, которые сейчас вошли в систему.

Для чтения LSASS требуются права локального администратора (а часто и SeDebugPrivilege).

secretsdump.py из Impacket удаленно извлекает хеши из SAM и базы данных домена с использованием действительных учетных данных.

Он также может выполнять DCSync и извлекать хеши непосредственно с контроллера домена, если у Вас есть необходимые права на репликацию.

Получив хеш, Вы можете использовать инструменты для непосредственной аутентификации с его помощью. psexec.py из Impacket принимает хеш с флагом -hashes и предоставляет удаленную оболочку.

Формат: LMHASH:NTHASH; в современных системах часть LM обычно представляет собой пустые нули.

Многие инструменты поддерживают PtH:

• CrackMapExec / NetExec: перебор хешей на множестве узлов.
• evil-winrm: оболочка WinRM с использованием хеша.
• wmiexec.py / smbexec.py: альтернативные методы выполнения.

Перебор одного хеша локального администратора в подсети может быстро расширить доступ.

Pass-the-Hash — основной метод горизонтального перемещения. Повторно используя хеш локального администратора одного компьютера на других (что возможно, если один пароль локального администратора используется совместно), злоумышленники переходят с узла на узел.

В памяти каждого нового узла могут находиться хеши более привилегированных пользователей.

Меры защиты включают:

• LAPS: уникальные случайные пароли локального администратора для каждого компьютера.
• Credential Guard: изоляция секретов LSASS.
• Ограничение мест входа в систему для привилегированных учетных записей (разделение на уровни).
• Отключение NTLM в пользу Kerberos, где это возможно.

У Pass-the-Hash есть родственные методы:

• Pass-the-Ticket: повторное использование украденного билета Kerberos.
• Overpass-the-Hash: использование хеша NTLM для запроса TGT Kerberos.

Эти методы переносят повторное использование учетных данных в мир Kerberos.

Pass-the-Hash непосредственно использует уязвимости аутентификации NTLM. В средах, где принудительно используется Kerberos и отключен NTLM, поверхность атаки значительно меньше.

Однако NTLM сохраняется в большинстве сетей для совместимости, поэтому PtH остается широко эффективным. Именно поэтому отключение NTLM считается рекомендуемой мерой усиления защиты.

Теперь Вы понимаете принцип Pass-the-Hash:

• При аутентификации NTLM хеш принимается как секрет, поэтому взлом не требуется.
• Хеши извлекаются из SAM, LSASS или NTDS.dit с помощью Mimikatz или secretsdump.
• Инструменты, такие как psexec.py, NetExec и evil-winrm, повторно используют хеши для горизонтального перемещения.
• Защита: LAPS, Credential Guard и разделение на уровни.

Далее Вы научитесь строить пути атаки с помощью BloodHound.