Pass-the-Hash

Pass-the-Hash (PtH) เป็นเทคนิคที่ผู้โจมตีใช้ยืนยันตัวตนด้วย แฮช รหัสผ่าน NTLM ของผู้ใช้ แทนรหัสผ่านแบบข้อความธรรมดา

เนื่องจากการยืนยันตัวตนด้วย NTLM ของ Windows ใช้ตัวแฮชเป็นความลับโดยตรง คุณจึงไม่จำเป็นต้องถอดรหัสแฮชนั้นเพื่อเข้าสู่ระบบในฐานะผู้ใช้ดังกล่าว

Windows จัดเก็บรหัสผ่านบัญชีเป็น แฮช NTLM (ค่า MD4 ของรหัสผ่าน UTF-16) ระหว่างการยืนยันตัวตนด้วย NTLM สิ่งที่ใช้พิสูจน์ตัวตนคือแฮช ไม่ใช่รหัสผ่าน

ข้อบกพร่องด้านการออกแบบนี้ทำให้การขโมยแฮชมีผลเทียบเท่ากับการขโมยรหัสผ่านสำหรับการเข้าสู่ระบบที่ใช้ NTLM

สามารถเก็บแฮชได้จากหลายแหล่ง:

• ฐานข้อมูล SAM บนเครื่องภายใน
• หน่วยความจำของกระบวนการ LSASS สำหรับผู้ใช้ที่เข้าสู่ระบบอยู่
• ไฟล์ NTDS.dit บนตัวควบคุมโดเมน

แต่ละแหล่งต้องใช้สิทธิ์แตกต่างกัน แต่ทั้งหมดให้แฮชที่นำกลับมาใช้ได้

Mimikatz เป็นเครื่องมือดั้งเดิมสำหรับดึงข้อมูลประจำตัวจากหน่วยความจำของ LSASS คำสั่ง sekurlsa::logonpasswords จะแสดงแฮช NTLM ของผู้ใช้ที่เข้าสู่ระบบอยู่ในขณะนั้น

ต้องมีสิทธิ์ผู้ดูแลระบบภายใน (และมักต้องมี SeDebugPrivilege) เพื่ออ่าน LSASS

secretsdump.py ของ Impacket สามารถดึงแฮชจาก SAM และฐานข้อมูลโดเมนจากระยะไกลโดยใช้ข้อมูลประจำตัวที่ถูกต้อง

นอกจากนี้ยังทำ DCSync เพื่อดึงแฮชโดยตรงจากตัวควบคุมโดเมนได้ หากคุณมีสิทธิ์การจำลองแบบที่เหมาะสม

เมื่อมีแฮชแล้ว เครื่องมือต่าง ๆ จะช่วยให้คุณใช้แฮชนั้นยืนยันตัวตนได้โดยตรง psexec.py ของ Impacket รับแฮชผ่านแฟล็ก -hashes และมอบเชลล์ระยะไกลให้คุณ

รูปแบบคือ LMHASH:NTHASH โดยส่วน LM มักเป็นเลขศูนย์ว่างบนระบบสมัยใหม่

เครื่องมือจำนวนมากรองรับ PtH:

• CrackMapExec / NetExec: กระจายแฮชไปยังโฮสต์จำนวนมาก
• evil-winrm: เชลล์ WinRM ที่ใช้แฮช
• wmiexec.py / smbexec.py: วิธีเรียกใช้งานทางเลือก

การกระจายแฮชของผู้ดูแลระบบภายในเพียงหนึ่งรายการไปทั่วเครือข่ายย่อย อาจขยายการเข้าถึงได้อย่างรวดเร็ว

Pass-the-Hash เป็นเทคนิคหลักสำหรับ การเคลื่อนที่ด้านข้าง ผู้โจมตีนำแฮชผู้ดูแลระบบภายในของเครื่องหนึ่งกลับมาใช้กับเครื่องอื่น (ซึ่งเป็นปัญหาเมื่อใช้รหัสผ่านผู้ดูแลระบบภายในเดียวกันร่วมกัน) เพื่อกระโดดจากโฮสต์หนึ่งไปยังอีกโฮสต์หนึ่ง

โฮสต์ใหม่แต่ละเครื่องอาจมีแฮชของผู้ใช้ที่มีสิทธิ์สูงกว่าอยู่ในหน่วยความจำ

มาตรการลดความเสี่ยงได้แก่:

• LAPS: ใช้รหัสผ่านผู้ดูแลระบบภายในที่สุ่มและไม่ซ้ำกันในแต่ละเครื่อง
• Credential Guard: แยกความลับของ LSASS ออกมา
• จำกัดสถานที่ที่บัญชีสิทธิ์สูงสามารถเข้าสู่ระบบได้ (การแบ่งระดับ)
• ปิดใช้งาน NTLM และใช้ Kerberos แทนเมื่อทำได้

Pass-the-Hash มีเทคนิคที่คล้ายกัน ได้แก่:

• Pass-the-Ticket: นำตั๋ว Kerberos ที่ขโมยมาใช้ซ้ำ
• Overpass-the-Hash: ใช้แฮช NTLM เพื่อขอ TGT ของ Kerberos

เทคนิคเหล่านี้ขยายการนำข้อมูลประจำตัวกลับมาใช้ซ้ำไปสู่โลกของ Kerberos

Pass-the-Hash ใช้ประโยชน์จากการยืนยันตัวตนด้วย NTLM โดยเฉพาะ สภาพแวดล้อมที่บังคับใช้ Kerberos และปิดใช้งาน NTLM จะลดพื้นผิวการโจมตีลงได้อย่างมาก

อย่างไรก็ตาม เครือข่ายส่วนใหญ่ยังคงใช้ NTLM เพื่อความเข้ากันได้ ดังนั้น PtH จึงยังคงมีประสิทธิภาพในวงกว้าง ด้วยเหตุนี้ การปิดใช้งาน NTLM จึงเป็นขั้นตอนแนะนำในการเสริมความมั่นคงปลอดภัย

ลองทบทวนว่าเหตุใด PtH จึงไม่จำเป็นต้องถอดรหัส

ขณะนี้คุณเข้าใจ Pass-the-Hash แล้ว:

• การยืนยันตัวตนด้วย NTLM ยอมรับ แฮช เป็นข้อมูลลับ จึงไม่จำเป็นต้องถอดรหัส
• แฮชถูกดึงออกจาก SAM, LSASS หรือ NTDS.dit โดยใช้ Mimikatz หรือ secretsdump
• เครื่องมืออย่าง psexec.py, NetExec และ evil-winrm นำแฮชกลับมาใช้เพื่อการเคลื่อนที่ด้านข้าง
• ป้องกันด้วย LAPS, Credential Guard และการแบ่งระดับ

ถัดไป คุณจะทำแผนผังเส้นทางการโจมตีด้วย BloodHound