Pass the X
PASS THE HASH
Los hashes de LM y NT se almacenan en bases de datos locales de Windows SAM y Active Directory NTDS para autenticar a los usuarios locales y de dominio, respectivamente. Estos hashes, tanto LM como NT, tienen una longitud de 16 bytes.
Sin embargo, los hash LM son bastante débiles, por lo que no se utilizan desde Windows Vista / Server 2008. Por otro lado, el hash NT es un poco más fuerte, pero no se usa una sal para calcularlo, por lo que se puede descifrar usando valores precalculados.
Muchas veces, el hash NT se denomina hash NTLM, sin embargo, esto puede resultar confuso, ya que el protocolo NTLM también usa hashes, llamados hash NTLM. Un hash NTLM será un hash del protocolo NTLM.
Muchas herramientas le permiten extraer los hash LM y NT, y normalmente devuelven un resultado con varias líneas, una por usuario, con el formato
<username>:<rid>:<LM>:<NT>:::En caso de que no se utilice LM, su valor será
aad3b435b51404eeaad3b435b51404ee(el hash LM de una cadena vacía).
Además, puede intentar descifrar los hash de LM y NT con hashcat para recuperar la contraseña original. Si tiene suerte y el hash LM está presente, esto debería ser rápido.
Mimikatz
Como sistema:
Metasploit:
PATH-WINEXE:
SMBClient
RDP
Primero editar este registro:
Luego proceder a:
Crackmapexec:
Domain user:
Local admin:
PASS THE KEY
Aparte de los hashes LM / NT , se almacenan las claves Kerberos, derivadas de la contraseña del usuario y utilizadas en el protocolo de autenticación Kerberos.
Las claves de Kerberos se pueden utilizar para solicitar un vale de Kerberos que represente al usuario en la autenticación de Kerberos. Hay varias claves diferentes, y se utilizan diferentes para diferentes compatibilidad con el cifrado Kerberos:
• Clave AES 256: utilizada por el algoritmo AES256-CTS-HMAC-SHA1-96. Este es el que Kerberos usa comúnmente, y el que debe usar un pentester para evitar disparar alarmas.
• Clave AES 128: utilizada por el algoritmo AES128-CTS-HMAC-SHA1-96.
• Clave DES: utilizada por el algoritmo DES-CBC-MD5 endesuso.
• Clave RC4: este es el hash NT del usuario utilizado por el algoritmo RC4-HMAC.
Estas claves se pueden utilizar en un ataque Pass-The-Key para recuperar un ticket para el usuario suplantado. Luego, puede usar ese vale de Kerberos para autenticarse contra diferentes servicios del dominio en nombre del usuario.
Last updated