Karmayı Geçirme

Pass-the-Hash (PtH), saldırganın düz metin parola yerine kullanıcının NTLM parola hash'ini kullanarak kimlik doğrulaması yaptığı bir tekniktir.

Windows NTLM kimlik doğrulaması gizli bilgi olarak doğrudan özeti kullandığından, bu kullanıcı olarak oturum açmak için özeti kırmanız gerekmez.

Windows, hesap parolalarını NTLM hashes olarak (UTF-16 parolasının MD4 özeti biçiminde) saklar. NTLM kimlik doğrulaması sırasında kimliği kanıtlayan şey parola değil, özettir.

Bu tasarım kusuru, özetin çalınmasının NTLM tabanlı oturum açma işlemleri açısından işlevsel olarak parolanın çalınmasıyla eşdeğer olduğu anlamına gelir.

Özetler çeşitli yerlerden toplanabilir:

• Yerel makinelerdeki SAM veritabanı.
• Oturum açmış kullanıcılar için LSASS işlem belleği.
• Etki alanı denetleyicilerindeki NTDS.dit dosyası.

Her kaynak farklı ayrıcalıklar gerektirir, ancak hepsi yeniden kullanılabilir özetler sağlar.

Mimikatz, kimlik bilgilerini LSASS belleğinden çıkarmak için kullanılan klasik araçtır. sekurlsa::logonpasswords komutu, o anda oturum açmış kullanıcıların NTLM özetlerini gösterir.

LSASS'ı okumak için yerel yönetici yetkisi (ve çoğu zaman SeDebugPrivilege) gerekir.

Impacket'in secretsdump.py aracı, geçerli kimlik bilgilerini kullanarak SAM ve etki alanı veritabanındaki özetleri uzaktan çıkarır.

Ayrıca, uygun çoğaltma haklarına sahipseniz özetleri doğrudan bir etki alanı denetleyicisinden çekmek için DCSync gerçekleştirebilir.

Bir özet elde ettiğinizde araçlar, onunla doğrudan kimlik doğrulamanıza olanak tanır. Impacket'in psexec.py aracı -hashes seçeneğiyle bir özeti kabul eder ve size uzak bir kabuk sağlar.

Biçim LMHASH:NTHASH şeklindedir; modern sistemlerde LM bölümü genellikle sıfırlardan oluşan boş bir değerdir.

Birçok araç PtH'yi destekler:

• CrackMapExec / NetExec: özetleri birçok ana bilgisayarda sırayla dener.
• evil-winrm: özet kullanarak WinRM kabuğu sağlar.
• wmiexec.py / smbexec.py: alternatif çalıştırma yöntemleri.

Tek bir yerel yönetici özetini bir alt ağdaki tüm makinelerde denemek, erişimi hızla genişletebilir.

Pass-the-Hash, temel bir lateral movement tekniğidir. Saldırganlar, bir makinenin yerel yönetici özetini diğerlerinde yeniden kullanarak (aynı yerel yönetici parolasının paylaşılması durumunda ortaya çıkan bir sorun) ana bilgisayardan ana bilgisayara geçer.

Her yeni ana bilgisayarın belleğinde daha ayrıcalıklı kullanıcıların özetleri bulunabilir.

Azaltma yöntemleri şunlardır:

• LAPS: her makine için benzersiz ve rastgele yerel yönetici parolaları.
• Credential Guard: LSASS gizli bilgilerini yalıtır.
• Ayrıcalıklı hesapların nerelerde oturum açabileceğini kısıtlamak (katmanlandırma).
• Mümkün olduğunda NTLM'yi devre dışı bırakıp Kerberos'u tercih etmek.

Pass-the-Hash'in benzerleri vardır:

• Pass-the-Ticket: çalınmış bir Kerberos biletini yeniden kullanmak.
• Overpass-the-Hash: Kerberos TGT'si istemek için NTLM özeti kullanmak.

Bunlar kimlik bilgisi yeniden kullanımını Kerberos dünyasına taşır.

Pass-the-Hash özellikle NTLM kimlik doğrulamasını kötüye kullanır. Kerberos'u zorunlu kılan ve NTLM'yi devre dışı bırakan ortamlar saldırı yüzeyini önemli ölçüde küçültür.

Bununla birlikte uyumluluk amacıyla NTLM çoğu ağda varlığını sürdürür; bu nedenle PtH geniş ölçüde etkili olmaya devam eder. NTLM'yi devre dışı bırakmak önerilen bir sağlamlaştırma adımıdır.

PtH'nin neden kırma gerektirmediğini hatırlayın.

Artık Pass-the-Hash'i anlıyorsunuz:

• NTLM kimlik doğrulaması gizli bilgi olarak hash'i kabul eder; bu nedenle kırma gerekmez.
• Özetler Mimikatz veya secretsdump kullanılarak SAM, LSASS ya da NTDS.dit'ten dökülür.
• psexec.py, NetExec ve evil-winrm gibi araçlar, yanal hareket için özetleri yeniden kullanır.
• LAPS, Credential Guard ve katmanlandırmayla savunma sağlayın.

Sonraki bölümde BloodHound ile saldırı yollarını haritalayacaksınız.