哈希传递攻击的预防

最新推荐文章于 2024-09-28 22:05:59 发布

weixin_44201513

最新推荐文章于 2024-09-28 22:05:59 发布

阅读量142

点赞数

文章标签：哈希算法算法

本文链接：https://blog.csdn.net/weixin_44201513/article/details/140048700

版权

哈希传递攻击的预防

微软在2014年5月13日发布了针对Pass The Hash的更新补丁KB2871997和针对GPP(Group Policy Preference)组策略首选项漏洞的更新补丁 KB2928120 。其中KB2871997补丁标题为`"Update to fix the Pass-The-Hash Vulnerability",`而在一周后却把标题改成了`"Update to improve credentials protection and management"`。事实上，这个补丁不仅能够缓解PTH，还能阻止mimikatz 抓取明文密码。KB2871997 补丁将使本地帐号不再可以用于远程接入系统，不管是 Network logon 还是 Interactive login。其后果就是：攻击者无法通过本地管理员权限对远程计算机使用 Psexec、WMI、smbexec、IPC 等，也无法访问远程主机的文件共享等，但是SID=500的用户不受影响！

在实际测试中，更新KB2871997之后，使用普通管理员账号无法使用常规的哈希传递方法进行横向移动，但 administrator(SID=500) 账号例外，使用该账号的散列值依然可以进行哈希传递攻击。这里需要强调的是 SID=500 的账号。即使将administrator账号改名，也不会影响SID的值。所以，如果攻击者使用SID为500的账号进行哈希传递攻击，就不会受到KB2871997的影响。如果是域环境，在本地管理员组中的域用户均能使用PTH攻击，不受该补丁影响。