哈希传递

传递哈希（PtH）是一种技术，攻击者使用用户的 NTLM 密码哈希进行身份验证，而不是使用明文密码。

由于 Windows NTLM 身份验证直接将哈希作为秘密凭据，因此您无需破解哈希，就可以以该用户身份登录。

Windows 会将账户密码存储为 NTLM 哈希（密码 UTF-16 表示经过 MD4 运算得到的结果）。在 NTLM 身份验证期间，用于证明身份的是哈希，而不是密码。

这一设计缺陷意味着，对于基于 NTLM 的登录，窃取哈希在实际效果上等同于窃取密码。

哈希可以从多个位置获取：

• 本地计算机上的 SAM 数据库。
• 已登录用户的 LSASS 进程内存。
• 域控制器上的 NTDS.dit 文件。

每个来源所需的权限不同，但都能提供可重复使用的哈希。

Mimikatz 是从 LSASS 内存中提取凭据的经典工具。sekurlsa::logonpasswords 命令会显示当前已登录用户的 NTLM 哈希。

读取 LSASS 需要本地管理员权限（通常还需要 SeDebugPrivilege）。

Impacket 的 secretsdump.py 可以使用有效凭据，从 SAM 和域数据库中远程提取哈希。

如果您拥有适当的复制权限，它还可以执行 DCSync，直接从域控制器中提取哈希。

获得哈希后，工具可以让您直接使用它进行身份验证。Impacket 的 psexec.py 接受通过 -hashes 标志提供的哈希，并为您打开远程 shell。

格式为 LMHASH:NTHASH；在现代系统中，LM 部分通常是空的零值。

许多工具都支持 PtH：

• CrackMapExec / NetExec：将哈希喷洒到多台主机上。
• evil-winrm：使用哈希通过 WinRM 打开 shell。
• wmiexec.py / smbexec.py：其他执行方法。

将单个本地管理员哈希喷洒到整个子网，可以快速扩大访问范围。

传递哈希是核心的横向移动技术。攻击者可以在其他计算机上重用一台计算机的本地管理员哈希（当多台计算机共享相同的本地管理员密码时，这会造成问题），从而在主机之间跳转。

每台新主机的内存中都可能存有权限更高用户的哈希。

缓解措施包括：

• LAPS：为每台计算机设置唯一的随机本地管理员密码。
• Credential Guard：隔离 LSASS 秘密。
• 限制特权账户可以登录的位置（分层管理）。
• 在可行的情况下禁用 NTLM，改用 Kerberos。

传递哈希还有一些相关技术：

• 传递票据：重用被窃取的 Kerberos 票据。
• 哈希越权传递：使用 NTLM 哈希请求 Kerberos TGT。

这些技术将凭据重用扩展到了 Kerberos 环境。

传递哈希专门利用 NTLM 身份验证。强制使用 Kerberos 并禁用 NTLM 的环境，其攻击面会显著缩小。

不过，出于兼容性考虑，大多数网络中仍然存在 NTLM，因此 PtH 依然广泛有效。这就是为什么禁用 NTLM 是推荐的加固措施。

回忆一下为什么 PtH 不需要破解。

现在，您已经了解传递哈希：

• NTLM 身份验证接受哈希作为秘密凭据，因此不需要破解。
• 可以使用 Mimikatz 或 secretsdump 从 SAM、LSASS 或 NTDS.dit 中转储哈希。
• psexec.py、NetExec 和 evil-winrm 等工具可以重用哈希来进行横向移动。
• 使用 LAPS、Credential Guard 和分层管理进行防御。

接下来，您将使用 BloodHound 映射攻击路径。