集权攻防——身份认证协议之NTLM

在Kerberos出现之前，NTLM被广泛应用于工作组和域环境，是更早的用于对用户进行身份验证的协议。

相比于Kerberos，NTLM的认证原理比较简单，主要通过对比客户端和服务端加密后的数据，判断其是否一致，以确定用户身份。

如果用做菜来比喻，那么被加密的数据就是“原材料”，加密密钥就是“秘方”，原理就是“用不同的秘方做出来的菜味道不一样”。当秘方只有客户端和服务端知道，服务端确定用户身份时，只需要用该秘方和客户端做同一盘菜，对比两盘菜的味道，如果一样，那就是真实的客户端。

 目前NTLM有两个版本，别是NTLMv1和NTLMv2，他们间最主要的区别体现在被加密数据的长度上，也就是“原材料”的种类。在v1版本中数据长度是8位，而v2版本中增加到16位。

v2版本相较于v1安全性更高，在网络中应用较多。因此，本篇文章中，我们将基于NTLMv2的认证原理，详细介绍“客户端登录”、“访问服务器资源”和“域环境下申请服务”这三种情况的认证过程。

客户端登录 

回忆我们平常登录电脑的过程，输好密码后就直接跳转到了桌面，整个过程不过一两秒钟。但其实在这短暂的两秒中，电脑内部发生了多重“反应”，从而实现对我们身份的验证。

首先，我们输入的密码会被交给Lsass进程，这个进程对明文密码进行加工，生成唯一的密码哈希。

然后，Lsass进程将从本地内存中，