服务器出现大批量登录审核失败/NtLmSsp攻击

已于 2022-09-01 17:04:42 修改
阅读量525 收藏
点赞数
文章标签： 服务器 运维
于 2022-09-01 17:04:20 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53641036/article/details/126647251
版权

问题描述

服务器无法连接或者服务器经常自动重启

问题排查

查看系统日志，在安全类目发现大量的登录审核失败的记录。

解决方法

进行NTLM策略控制，彻底阻止NTLM响应

奋斗的工程师
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
服务器显示大量审核登录成功,服务器出现大批量登录审核失败/NtLmSsp攻击
weixin_39625468的博客
08-12 3140
问题：服务器出现大批量登录审核失败详细信息：---重点红色标注日志名称: Security来源: Microsoft-Windows-Security-Auditing日期: 2020/7/28 16:47:37事件 ID: 4625任务类别: 登录级别: 信息关键字: 审核失败...
响应者：响应者是LLMNR，NBT-NS和MDNS中毒者，具有内置的HTTPSMBMSSQLFTPLDAP流氓身份验证服务器，支持NTLMv1NTLMv2LMv2，扩展安全性NTLMSSP和基本HTTP身份验证
02-23
:no_entry: [已弃用]有效于 响应者 LLMNR / NBT-NS / mDNS毒药 作者：Laurent Gaffie < > 介绍 响应LLMNR，NBT-NS和MDNS中毒器。 它将根据名称后缀来回答特定的NBT-NS（NetBIOS名称服务）查询（请参阅： : ）。 默认情况下，该工具将仅回答针对SMB的文件服务器服务请求。 其背后的概念是针对我们的答案，并在网络上更加隐秘。 这也有助于确保我们不会破坏合法的NBT-NS行为。 如果要回答工作站服务请求名称后缀，可以通过命令行设置-r选项。 特征 内置SMB ​​Auth服务器。 默认情况下，通过扩展安全性NTLMSSP支持NTLMv1，NTLMv2哈希。 从Windows 95到Server 2012 RC，Samba和Mac OSX Lion的成功测试。 设置--lm选项时，NT4支持明文密码，并且LM哈希降级。 启动该工具
DUBrute多密码爆破改进版.rar
07-24
其实爆破服务器很简单的，也是必学的。 3389是一个远程桌面的端口，很多人为了更方便管理服务器，更新服务器上的资源等，经常会开启3389端口，用nastat-an命令可以查看该端口的开启。对于一个账户如果账号密码过于弱很容易被爆破到，一般默认账号为Administrator或admin，而对于过于简单的密码，在3389密码字典中均可找到，下面来讲解爆破3389服务器，获得一台服务器的全过程。 工具：DUbrute爆破工具（或者用frdpb) SYN扫描工具 IP Search 首先用IPseacher搜索一段活跃的IP段，也可以在百度搜索活跃3389IP段，其次就是SYN扫描，最好是在server2003的系统下扫描，实在不行可以用VMware虚拟机做2003系统进行扫描，如果硬要在XP系统下扫描，那么先让XP支持SYN扫描，将支持SYN补丁tcpip复制到C盘的drives下，重启后即可进行SYN扫描，对于刚装好的server2003系统先开启以下服务。 scconfig LmHosts start= auto sc config RpcLocator start= auto sc configNtlmSsp start= auto sc config lanmanserver start= auto sc configSharedAccess start= disabled net start LmHosts 2>nul net startRpcLocator 2>nul net start NtlmSsp 2>nul net start lanmanserver2>nul net stop SharedAccess >nul 2>nul 将IPseach下的IP段复制到SYN扫描器下的ip.txt中，开始扫描一段时间。扫描完毕后生产ips文档，IPS文档中的IP就是开启3389端口的IP。 下面使用DUbrute工具，这款工具是全英文版的工具，下面本人对这款工具进行翻译下。 Source表示“源”。 Bad表示“坏的” Good表示“好的” Error表示“错误的” Check表示：“检测” Thread表示“线程” Start表示“开始” Stop表示“停止” Config表示“配置” Generation表示“生成” About表示“关于” Exit表示“退出” 大概重要的翻译完了，下面导入需要爆破的3389的IP，直接打开Generation，打开后会发现有三列需要添加的东西，第一列中是需要爆破的IP，我们直接点击FileIP导入IPS下的所有IP，第二列Login是登陆账号，我们这里可以直接选择AddLogin添加用户名，两个就可以了吧，就直接Administrator或者Admin，当然你也可以导入Username的字典，不过这样更慢而已。第三列Password，选择Filepass导入我们的3389密码字典。最后点击male，退出该界面。点击Config进行配置，对于2G的服务器可以将Thread线程到2000.我们随便选择1000或者500.。OK，下面有bad.txt和Good.txt里面装载的会是我们之后的服务器IP的正确账号密码和错误的连接IP。 OK，开始点击Start爆破，等待时间，Good后面出现数字表示我们已经爆破成功多少台服务器，Bad表示坏的正在Check中，我们可以在DUbrute下找到Good文档打开，可以看到爆破成功的服务器的IP和登录账号密码。 恭喜爆破成功，开始——运行——mstsc-admin，进入3389登录框，输入IP，连接上去输入爆破到的账号密码，登录服务器中，这一步恭喜你成功得到了一台服务器，赶紧创建一个属于自己的用户吧。亲，不要做坏事哦，如果是游戏服务器不要打扰别人游戏哦。 其实得到服务器后还有一系列留后门的方法，包括对net拒权的方法.
内网安全之-NTLM协议详解
weixin_45910629的博客
03-18 1439
不同的SSP，实现的身份验证机制是不一样的。因此当我们获取到了用户密码的 NTLM Hash 而没有解出明文时，我们可以利用该 NTLM Hash 进行哈希传递攻击，对内网其他机器进行 Hash 碰撞，碰撞到使用相同密码的机器。它是发生在 NTLM 认证的第三步，在 Response 消息中存在 Net-NTLM Hash，当攻击者获得了 Net-NTLM Hash 后，可以进行中间人攻击，重放 Net- NTLM Hash，这种攻击手法也就是 NTLM Relay(NTLM 中继)攻击。
go-ntlmssp:通过HTTP进行NTLM协商身份验证
05-03
gontlmssp 通过HTTP提供NTLM /协商身份验证的Golang软件包 来自协议详细信息来自实现提示 该软件包仅实现身份验证，不进行密钥交换或加密。 它仅支持协议字符串的Unicode（UTF16LE）编码，不支持OEM编码。 该软件包实现了NTLMv2。 用法 url, user, password := "http://www.example.com/secrets", "robpike", "pw123" client := &http.Client{ Transport: ntlmssp.Negotiator{ RoundTripper:&http.Transport{}, }, } req, _ := http.NewRequest("GET", url, nil) req.SetBasicAuth(user, password) res, _ :=
服务器安全日志显示审核失败,如何将服务器审核事件写入安全日志
weixin_28674303的博客
08-06 871
在高度安全环境中，Windows 安全日志是写入记录对象访问的事件的合适位置。其他审核位置也受支持，但是更易被篡改。将 SQL Server 服务器审核写入 Windows 安全日志有两个关键要求：必须配置审核对象访问设置以捕获事件。可根据您的操作系统而采用最佳的配置方法。在 Windows Vista 和 Windows Server 2008 中，使用审核策略工具 (auditpol.exe)...
服务器日志出现大量NTLM(NT LAN Manager)攻击
liyichuanZhengzhou的博客
08-30 1778
主题”字段指明本地系统上请求登录的帐户。“网络信息”字段指明远程登录请求来自哪里。“登录类型”字段指明发生的登录的种类。-“密钥长度”指明生成的会话密钥的长度。来源: Microsoft-Windows-Security-Auditing。-“数据包名”指明在 NTLM 协议之间使用了哪些子协议。-“传递服务”指明哪些直接服务参与了此登录请求。“进程信息”字段表明系统上的哪个帐户和进程请求了登录。“身份验证信息”字段提供关于此特定登录请求的详细信息。日期: 2023/8/30 20:57:40。
针对ntlmssp攻击的本机安全攻防记（第一回）
热门推荐
xylz_yang的专栏
12-19 2万+
一、写在前面    这个问题说来也是恼火，切入正题之前先谈谈最近的一段狗血的经历，如果比较着急，就直接跳到第二部分吧！！ 新去的一家政府支持的号称做互联网的单位（据后来观察几个部门都是凑吧的）。当初本屌是看着几个妹子不错（[哈哈）才暂时决定留待观察的，其中一个就是HR妹子，初次见面给了一个回眸一笑，就在我幸福荡漾 ，甜蜜品尝笑容的时候一口凉气一闪而过，当时也没在意，就被这贱贱的笑容勾引第二天上
服务器系统日志4625,事件4625窗口安全审核无法登录 . 失败原因：未知用户名或密码错误...
weixin_28888459的博客
08-12 6198
我有Windows服务器2012 R2天蓝色虚拟实例，并且很少有端口打开，即(80,443，RDC) . 我在安全性部分中观察了以下日志到Windows事件查看器 .事件4625：Microsoft Windows安全审核-------日志描述开始帐户无法登录 .学科：安全ID：NULL SID用户名： -帐户域名： -登录ID：0x0登录类型：3登录失败的帐户：安全ID：NULL SID帐户名称...
老生长谈之NTLM反向攻击
网络——菜市场
07-30 1256
老生长谈之NTLM反向攻击by cocoruder这个似乎火过一段时间，在读书时就看到有很多文章谈这样的攻击。考虑下面的模型A（192.168.0.1，被攻击者）访问B（192.168.0.2，攻击者）某个页面，这个页面的内容可能是1.在A一连接B时，B当然已获得A的IP（192.168.0.1），B立即请求对A的ipc$连接，A返回挑战值（Challenge）。2.接下来A请求B的ipc$连接，
Linux服务器的四种攻击级别及解决方案
03-04
对Linux服务器攻击的定义是：攻击是一种旨在妨碍、损害、削弱、破坏Linux服务器安全的未授权行为。攻击的范围可以从服务拒绝直至完全危害和破坏Linux服务器。对Linux服务器攻击有许多种类,本文从攻击深度的角度说明...
gss-ntlmssp：作为GSSAPI机制的MS-NLMP文档的完整实现
02-23
GSS-NTLMSSP 这是用于实现NTLM身份验证的GSSAPI库的mechglue插件。 到目前为止，它仅使用MIT Kerberos随附的libgssapi实现进行构建和测试（版本1.11及更高版本） 项目信息 该项目目前托管在 与项目相关的信息...
Windows安全日志分析
安全狐
11-16 1万+
Windows的日志文件主要有系统日志、应用程序日志、安全日志这三类，另外，根据不同的系统服务配置可能还会产生其他的日志文件，如Powershell日志、WWW日志、FTP日志、DNS服务器日志等。这些日志文件由Windows的EventLog服务生成并记录，EventLog服务由Windows服务管理器（%SystemRoot%\system32\services.exe）启动并管理。
基于NTLM认证的中间人攻击(含实战)
Blue_Arc的博客
08-04 1960
文章目录中间人攻击0x01 域和工作组0x02 NTLM认证(Windows)本地认证NTLM Hash的生成网络认证工作组环境NTLM认证流程域环境NTLM认证0x03 域名解析协议LLMNR解析过程NetBIOSWindows系统域名解析顺序0x04 WPAD工作原理WPAD劫持0x05 NTLM中继0x06 Responder介绍攻击演示利用LLMNR和NetBIOS截取Net-NTLM Hash利用WPAD劫持获得Net-NTLM HashSMB Relay总结**Reference** 中间人攻击
使用Nginx将服务器目录、文件共享出来
cpych的专栏
05-22 189
如果在Linux服务器上共享磁盘给Windows使用，这样会导致存放的文件名的编码是ISO-8859-1格式的，因此需要制定读取目录及文件的编码 charset utf-8;1.配置映射路径，加入映射目录。2.重载Nginx配置。
用于与 HTTP 服务器通信的函数
安徽锐锋科技-沐雨潇竹
05-21 760
将对在不更改结构的情况下不允许用于 URL 的所有字母进行掩蔽。将指定数据从 Base64 编码解码为原始状态，对传递的 Base64 编码文本中的二进制数据进行转换。decodeQuotedPrintableString 函数取消掩蔽由引用的可打印编码掩蔽的所有字母，将其转换为原始形式的传递文本。对引用的可打印编码中传递的字符串进行编码，其中将掩蔽不允许在 URL 中使用的所有字母，而不更改其结构。字符串数据类型的 FileName 参数用于指定要将解码后的数据保存到其中的文件的名称。
Linux学习（十二）-- 用户管理与用户组管理、su与exit命令、sudo命令
PUYALEI的博客
05-21 1089
切换到root用户，执行visudo命令，会自动通过vi编辑器打开：/etc/sudoers。一旦出了HOME目录，大多数地方，普通用户仅有只读和执行权限，无修改权限。在我们得知root密码的时候，可以通过su命令切换到root得到最大权限。root用户拥有最大的系统操作权限，而普通用户在许多地方的权限是受限的。我们可以使用sudo命令，为普通的命令授权，临时以root身份执行。参数：用户名，表示要切换的用户，用户名也可以省略，省略表示。普通用户的权限，一般在其HOME目录内是不受限的。
如何选择适合自己需求的扬州独立服务器方案？
最新发布
m0_63641208的博客
05-22 436
在互联网时代，独立服务器是网络建设的重要组成部分。选择适合自己需求的扬州独立服务器方案至关重要。下面，我们将介绍如何选择合适的扬州独立服务器，并推荐莱卡云（Lcayun）服务器商。
登录进程 ntlmssp
06-12
登录进程 ntlmssp 是一种安全协议，主要用于在 Windows 操作系统下进行身份验证。它是 Windows 的一种默认身份验证机制，用于验证用户的用户名和密码，以便用户能够访问受保护的资源。当用户登录系统时，ntlmssp 将用户提供的凭据与系统中存储的凭据进行比较，以确定用户是否有权访问系统资源。这个过程是在安全的加密通道中完成的，以确保用户的凭据不会被未经授权的人员获取。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值