NTLM协议中都存在那些漏洞

NTLM协议中都存在那些漏洞

1.Pass The Hash(PTH攻击)
2.NTLM Relay
3.Net-NTLM v1 Hash破解

PTH攻击

由于NTLM认证中将用户明文密码加密成NTLM Hash,
因此拥有NTLM Hash变相与拥有密码但不知道密码明文,
可以利用NLTM Hash进行哈希传递的内网横向攻击,可以对内网	
其余机器进行Hash碰撞,可能碰撞到拥有相同密码的机器,
通过135或445端口横向移动到使用该密码的机器。

NTLM Relay

NTLM relay攻击也可称为Net-NTLM Relay攻击,它发生在NTLM认证的第三部分,
在Response信息中包含存在的Net-NTLM Hash,Net-NTLM Hash是通过NTLM Hash
和Challenge加密而成,后续用于服务端Challenge加密本机NTLM Hash进行比较,
是否一致验证成功,能够劫持Net-NTLM Hash进行攻击重放被称为Net-NTLM Hash
中继攻击,也被成为NTLM relay攻击,需要注意的是NTLM认证嵌套在上层协议之中,
比如SMB理论上只要客户端目标访问攻击机SMB协议认证到第三部就能拿到Net-
NTLM Hash,有漏洞就可以强制进行客户端访问从而拿到Net-NTLM Hash。

Net-NTLM v1 Hash破解

由于NTLM v1身份验证存在缺陷,只要获取Net-NTLM v1 Hash,就能破解为NTLM Hash,
并且与密码强度无关,域中只需要Hash就可以连接目标机器,域控如果允许NTLM v1,
响应我们就可以我们就可以通过域控机器进行NTLM认证,然后抓取域控的Net-NTLM v1
Hash破解为NTLM Hash,使用域控的机器账号和Hash即可导出域内所有用户Hash。
需要注意:
从Windows Vista开始,微软模式使用NTLM v2身份认证协议,需要手动修改
才可以降级到NTLM v1需要目标主机的管理员权限才能进行操作。
两种方式降级到NTLM v1
1.设置LAN管理器身份验证级别
2.修改注册表

Net-NTLM v1 打法

首先通过注册表或者LAN管理器身份验证级别降权到NTLM v1,
使用Responder抓取目标主机的Net-NTLM v1 Hash,注意新版本的
Responder的Challenge值为任意值,需要修改Responder.conf文件
的Challenge的值为1122334455667788。
在Responder执行如下命令:
Responder -I eth0 --lm -rPv
该命令是进行Net-NTLM v1 Hash的监听,之后使用打印机漏洞或者Petitpotam触发
域控机器强制向我们机器进行NTLM认证,即可收到域控的Net-NTLM v1 Hash,需要
注意域控需要允许NTLM v1响应,获取Net-NTLM Hash之后使用ntlmv1.py脚本,
进行分析,即可得到NTHash,可以获得NT Hash放到https://crack.sh/get-cracking/
进行破解,邮箱中的Key值就是目标的NTLM Hash,之后利用NTLM Hash值以域控机器账号身份导出域内所有用户Hash。