小白的NTLM学习笔记

乐氏鼠骗
131 阅读2分钟

  • NTLM相关前置知识：

    • 什么是NTLM协议？

      • NTLM（New Technology LAN Manager）是微软用于Windows身份验证的主要协议之一，在NTLM之前，LM（LAN Manager）协议用来确保安全性，但是LM太简单，容易被破解，所以NTLM应运而生。
      • NTLM的作用：NTLM既可以用于工作组环境中机器身份验证，也可以用于域环境中的身份验证，而且能为如http，LDAP等上层应用协议提供身份验证服务。

      • NTLM SSP

        • 什么是SSP？

          • SSPI和SSP：SSPI是Windows的一套安全接口，类似的GSS-API（为任何平台提供安全接口，而不只是NTLM）。SSPI定义了一系列与安全相关的函数，如：身份验证，Session Security（会话安全）机制等。SSPI只负责定义这些安全功能函数，具体由SSP实现。SSP：SSP是对SSPI中安全功能函数的实现，如NTML SSP，Kerberos SSP等。
        • NTLM SSP：NTLM SSP是一种基于质询/响应（挑战/应答）的身份验证方式，Windows NT3.51中引入的，作用于Windows 2000之前的客户端-服务器域和非域身份验证（SMB/CIFS）

      • LM和NTLM

        • LM和NTLM都是微软为了解决安全问题提出的身份验证协议，他们之间的关系如下

    • NTLM是基于质询/应答的身份验证，有v1和v2两个版本

      • 身份验证过程：step1：协商（服务版本等）step2：质询（服务器发起challenge）step3：响应（客户端进行响应response）
      • v1和v2的区别主要是在step2质询时的challenge值和加密方式不同

  • NTLM的工作方式(工作组环境下和域环境下 ps：域环境和工作组相关内容不久之后会有更新·~·~~~~大大们稍安勿躁，也可移步其他大佬文章先大概了解一下)

    • 工作组环境下的NTLM认证

    • 域环境下的NTLM认证

  • NTLM协议存在的安全问题：

    • Pass The Hash攻击（PTH）：

      • 在Type3中，我们可以注意到传递的内容是由用用户密码的NTLM hash进行加密的，因此我们就算只拿到了用户的NTLM hash，可以利用它进行PTH攻击，具体的做法在之后的文章中会有解析（现在哥们也不会），大概是通过在内网中进行碰撞，遇到NTLM Hash 一致的就会利用一些端口如445进行横向移动

    • NTLM Reply：

      • 一样，目前哥们只知道发生在step3，是由于Net-NTLM hash产生的一种中间人攻击，老爷们如果按耐不住的话~先自学一下下吧

    • Net-NTLM v1 hash破解：

      • NTLM v1的Net-NTLM hash是可以破解的，而且与设置的密码强度无关，要解决最好的方法就是固定NTLMv2验证。

-先到这里

avatar
文章
阅读
粉丝