- 综合排序
- 最热优先
- 最新优先
- 来自专栏黑白天安全团队
内网协议NTLM之NTLM基础
NTLM的认证过程是怎样什么？ NTLM Hash是怎么样生成的呢？ ，它容易与NTLM混淆，NTLM是一种网络协议，与NTLM Hash的关系就是：NTLM网络认证协议是以NTLM Hash作为根本凭证进行认证的协议。 它替换启用了 NTLM版本2的系统上的NTLM响应。 LMv2响应 - 替代NTLM版本2系统上的LM响应。 NTLM2会话响应 - 用于在没有NTLMv2身份验证的情况下协商NTLM2会话安全性时，此方案会更改LM NTLM响应的语义。 Challenge/Response验证机制里面type3 response里面包含Net-ntlm hash，NTLM v1响应和NTLMv2响应对应的就是Net-ntlm hash分为Net-ntlm
1.9K20发布于 2021-04-07 - 来自专栏谢公子学安全
NTLM协议详解
SSP LM Hash加密算法 NTLM Hash加密算法 1. NTLM Hash加密流程 2. Windows系统存储的NTLM Hash NTLM协议认证 1. (2) Net-NTLM v2 Hash计算 2. 域环境下的NTLM认证 (1) 域环境下NTLM认证抓包 3. NTLM v1和NTLM v2的区别 4. NTLM身份认证协议有NTLM v1和NTLM v2两个版本，目前使用最多的是NTLM v2版本。 3 NTLM v1和NTLM v2的区别 NTLM v1身份认证协议和NTLM v2身份认证协议是NTLM身份认证协议的不同版本。目前使用最多的是NTLM v2版本。 2 NTLM Relay NTLM Relay其实严格意义上并不能叫NTLM Relay，而是应该叫 Net-NTLM Relay。
7.3K51编辑于 2023-02-27 - 来自专栏鸿鹄实验室
Windows认证--NTLM
HTLM Hash NTLM认证就是通过NTLM Hash进行的认证，可分为本地认证和网络认证 加密算法 将明文密码转换成16进制格式 对16进制进行unicode编码，即在每个字节之后添加0x00 对 客户端接收到Type2消息后，使用用户的NTLM Hash对Challenge进行加密得到Net-NTLM Hash(不能直接用来进行PTH，但可以通过暴力破解来获取明文密码)，封装到Type3 消息中 服务端接收到Type3消息后，用自己的密码对NTLM-Hash对Challenge进行加密，并比较自己计算出的Net NTLM Hash与客户端发送的是否匹配，如果匹配则认证成功，否则认证失败. 在整个NTLM验证过程中，虽然没有明文密码在客户端和服务端之间传输，但是如果得到了NTLM Hash后，无需爆破明文密码，可以冒充该用户通过身份验证，也就是PTH攻击. Hash，在无法爆破出明文密码的时候可尝试NTLM Relay攻击.
1.6K40编辑于 2022-11-02 - 来自专栏Ms08067安全实验室
NTLM重放攻击
NTLM重放攻击 Kerberos域网络中，默认NTLM协议是主要的替代认证协议，几乎伴随着Kerberos协议，NTLM协议的安全性会对域网络产生重要的冲击，所以我们单独成立一个独立的章节介绍与NTLM NTLM重放攻击由最早由Dystic在2001年提出，用于攻击SMB协议的NTLM认证过程，作者发布了对应的SMBRelay攻击工具；2004年，发展为由HTTP协议重放至SMB协议的NTLM认证过程， NTLM重放攻击概念 NTLM重放攻击，开始的时候比较好理解，随着微软安全措施的加强和漏洞的成因更复杂化，后面理解NTLM重放攻击更加困难，为了能让读者们能够清晰掌握，我们从最基本的应用场景开始，逐渐深入 ，层层分解剖析NTLM重放攻击。 前文提到，微软为了方便不同的应用层协议调用NTLM协议进行认证，提供了NTLM SSPI统一接口供应用层协议调用。
62810编辑于 2024-01-11 - 来自专栏FreeBuf
NTLM Relay Gat：自动化NTLM中继安全检测工具
关于NTLM Relay Gat NTLM Relay Gat是一款功能强大的NTLM中继威胁检测工具，该工具旨在利用Impacket工具套件中的ntlmrelayx.py脚本在目标环境中实现NTLM中继攻击风险检测 ，以帮助研究人员确定目标环境是否能够抵御NTLM中继攻击。 接下来，广大研究人员可以直接使用下列命令将该项目源码克隆至本地： git clone https://github.com/ad0nis/ntlm_relay_gat.git cd ntlm_relay_gat MSSQL数据库： python ntlm_relay_gat.py --mssql-dbs 通过xp_cmdshell执行一个操作系统命令： python ntlm_relay_gat.py -- 项目地址 NTLM Relay Gat： https://github.com/ad0nis/ntlm_relay_gat 【FreeBuf粉丝交流群招新啦！
37410编辑于 2024-05-30 - 来自专栏Khan安全团队
Windows 的 NTLM 中继
lsarelayx 是系统范围的 NTLM 中继工具，旨在将传入的基于 NTLM 的身份验证中继到运行它的主机。lsarelayx 将中继任何传入的身份验证请求，其中包括 SMB。 特征 在系统范围内中继 NTLM 连接，包括 SMB、HTTP/HTTPS、LDAP/LDAPS 或任何其他实现 Windows 身份验证 API 的第三方应用程序。 在可能的情况下，将传入的 Kerberos 身份验证请求降级为 NTLM。这将导致传统上尝试 Kerberos 身份验证的客户端回退到 NTLM。 它的主要目的是挂钩 NTLM 和 Negotiate 包，以便通过本地命名管道将身份验证请求重定向到 lsarelayx，以便中继和转储 NetNTLM 哈希。 RAW 服务器模块与协议无关，旨在直接接受来自 lsarelayx 等 3rd 方软件的原始 NTLM 消息。
1.9K20编辑于 2022-01-06 - 来自专栏黑白天安全团队
windows之NTLM认证
NTLM的认证过程 NTLM Hash是怎么样生成的呢？ 其中，经过NTLM Hash加密Challenge的结果在网络协议中称之为Net NTLM Hash。 NTLM 协议 V1 与 V2的区别 NTLM v1与NTLM v2最显著的区别就是Challenge与加密算法不同，共同点就是加密的原料都是NTLM Hash。 Challage:NTLM v1的Challenge有8位，NTLM v2的Challenge为16位。 Net-NTLM Hash:NTLM v1的主要加密算法是DES，NTLM v2的主要加密算法是HMAC-MD5。
3.1K20发布于 2020-08-18 - 来自专栏中国白客联盟
无需Linux进行NTLM Relay
前言 在域内，有很多种手法可以获取域控权限，包括不限于利用溢出类的漏洞如ms17-010、抓取域管密码，当然也有今天的主角，利用ntlm relay。 ntlm relay手法有很多，比如利用WPAD、LLMNR等“被动性”攻击，利用打印机等“主动性”攻击，核心就是中继了他人的net-ntlm。 但是呢，利用工具监听的都是本地445端口，受害者机器与我们通信的也是445端口，而在windows上445端口是占用的，难道利用ntlm relay手法只能基于linux机器？
1.3K20发布于 2021-11-02 - 来自专栏谢公子学安全
利用PetitPotam进行NTLM Relay攻击
利用PetitPotam进行NTLM Relay攻击 2021年7月19日，法国安全研究人员Gilles Lionel披露了一种新型的NTLM Relay攻击利用手法——PetitPotam。 利用该漏洞，黑客通过连接到LSARPC强制触发目标机器向指定远程服务器发送Net-NTLM Hash，从而攻击者在拿到Net-NTLM Hash后能进行NTLM Relay攻击，进而接管整个域。 github.com/topotam/PetitPotam 虽然禁用对 MS-EFSRPC 的支持并不能阻止攻击运行，但微软随后发布了针对该问题的缓解措施，同时将“PetitPotam”描述为“经典的 NTLM 微软指出：“为了防止在启用了 NTLM 的网络上发生 NTLM 中继攻击，域管理员必须确保允许 NTLM 身份验证的服务使用诸如扩展身份验证保护 (EPA) 或签名功能（如 SMB 签名）之类的保护措施 漏洞复现 这里以CVE-2019-1040 NTLM 降级漏洞作为一个演示。
3.5K20编辑于 2022-01-20 - 来自专栏内网安全学习笔记
通过WebDav进行NTLM Relay
0x1 前言 NTLM Relay大家已经不再陌生了，很多时候我们通过NTLM Relay进行攻击时，会受到协议签名(ldap/s、smb等协议签名)的影响从而导致攻击失败，并且随着时间的流逝 Sharp -p Admin#123 -r evil.pentest.local -d 10.0.10.128 --action add ws01.pentest.local 图片 0x03 准备NTLM
2.4K20编辑于 2023-04-17 - 来自专栏Y5neKO博客
NTLM及Kerberos认证流程
NTLM认证 1.概念 NTLM是NT LAN Manager的缩写，NTLM 是指 telnet 的一种验证身份方式，即问询/应答身份验证协议，是 Windows NT 早期版本的标准安全协议，Windows 2000 支持 NTLM 是为了保持向后兼容。 2.认证流程 ①使用用户名和密码登录客户端，进行本地认证 ②客户端首先在本地加密当前用户的密码为密码散列，即NTLM Hash1 ③确认双方协议版本，客户端向服务器明文发送自己的账号 ④服务器生成一个 ，然后加密成NTLM Hash winlogon.exe -> 接收用户输入 -> lsass.exe -> 本地认证 NTLM Hash的生成 用户明文密码：y5neko123 十六进制转换为：79356e656b6f313233 通常意义上的NTLM Hash指存储在SAM数据库及NTDS数据库中对密码进行 Hash摘要计算后的结果，这类 Hash可以直接用于 PTH，并且通常存在于LSASS进程中，便于 SSP（NTLM 安全支持提供程序
2.2K20编辑于 2022-01-13 - 来自专栏谢公子学安全
Outlook+NTLM Relay接管全域
通过 OutLook+NTLM Relay接管全域。该利用方式可以是最新版本的Outlook客户端。
78560编辑于 2022-03-14 - 来自专栏Khan安全团队
PetitPotam – NTLM 中继到 AD CS
但是，它可能允许红队操作员对 AD CS 的 Web 界面进行 NTLM 中继攻击，以破坏网络。 Web 界面用于允许用户获取证书（Web 注册），通过 HTTP 协议，不支持签名并接受 NTLM 身份验证。 该攻击强制域控制器计算机帐户 (DC$) 向配置了 NTLM 中继的主机进行身份验证。身份验证转发给证书颁发机构 (CA) 并提出证书请求。 它可以通过提供标准用户凭据并使用配置 NTLM 中继的系统 IP 和 CA 的 IP 地址来执行。 使用加密文件系统 (EFS) 模块，并指定域控制器和充当 NTLM 中继的主机将发送远程过程调用。
2K10编辑于 2022-01-06 - 来自专栏Khan安全团队
通过 Cobalt Strike 进行 NTLM 中继
NTLM 中继是渗透测试期间一种流行的攻击策略，而且执行起来非常简单。 可以肯定地说，NTLM 中继不会很快消失。然而，由于一些原因，通过 C2 框架进行中继并不那么简单。 除了通常的 MS 对 NTLM 中继缓解的指导外，您还可能希望查找 WinDivert 驱动程序加载事件（Sysmon 事件 ID 6）。
1.5K30编辑于 2021-12-29 - 来自专栏Khan安全团队
从 LSASS 进程中抓取 NTLM 哈希
一旦 DLL 被 LSASS 加载，它将在进程内存中搜索以提取 NTLM 哈希和密钥/IV。 DLLMain 总是返回False，因此进程不会保留它。 它仅在RunAsPPL未启用时有效。 ---- User: vagrant Domain: WINTERFELL NTLM: e02bc503339d51f71d913c245d35b50b ---- User: DWM-1 Domain : Window Manager NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590 ---- User: DWM-1 Domain: Window Manager NTLM: ---- User: UMFD-0 Domain: Font Driver Host NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590 ---- User: Domain : NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590 ---- User: Domain: ============ [+] Deleting DLL [^
1.6K20编辑于 2023-02-23 - 来自专栏信安之路
轻松理解 NTLM 协议工作流程
NTLM 使用在 Windows NT 和 Windows 2000 Server(or later)工作组环境中(Kerberos 用在域模 式下)。 在 AD 域环境中，如果需要认证 Windows NT 系统，也必须采用 NTLM。相比 Kerberos，基于 NTLM 的认证过程要简单很多。 NTLM 采用一种质询/应答(Challenge/Response)消息交换模式，下图是 NTLM 的认证过程: ? 总结 在服务器端，保存的不是用户的明文密码，而是密码经过 NTLM 加密后的字符串，因为是 hash 算法，所以不可逆，对于 NTLM 的哈希只能进行暴力枚举无法进行解密。 这不是一个攻击的文章，旨在理解 NTLM 这个协议的工作流程，也没有涉及某某字段的意思，想要深入理解的可以自己去找相关资料深入研究。
3.5K10发布于 2020-06-16 - 来自专栏FreeBuf
CVE-2019-1040 NTLM MIC 绕过漏洞
成功利用此漏洞的攻击者可以获得降级 NTLM 安全功能的能力。要利用此漏洞，攻击者需要篡改NTLM 交换，然后修改NTLM 数据包的标志，而不会使签名无效。 NTLM 认证流量后，通过删除相应的字段绕过NTLM 的完整性校验并修改NTLM 数据包的标志位使得其从SMB协议中继到LDAP 不需要签名； 3）使用中继的LDAP流量，通过LDAP远程连接域控，执行高权限操作 1、触发目标NTLM请求 攻击者需要向目标机器发起NTLM请求才能进行NTLM Relay利用，这里可以利用使用Print Spooler 漏洞或者PetitPotam漏洞强制触发目标机器向指定的机器进行 NTLM 认证；详情见内网渗透(六十二)之 NTLM Realy 攻击 2、LDAP 签名绕过 由于通过Print Spooler 漏洞和PetitPotam漏洞触发的NTLM 认证都是基于SMB协议的 ，再将此NTLM认证流量绕过NTLM的消息完整性的校验并修改LDAP协商的数据包中的相应标志位来使得协商不需要签名。
96120编辑于 2023-08-08 - 来自专栏谢公子学安全
你所不知道的NTLM Relay
目录 作者：谢公子 @深蓝攻防实验室 NTLM Relay其实严格意义上并不能叫NTLM Relay，而是应该叫 Net-NTLM Relay。 它是发生在NTLM认证的第三步，在 Type3 Response消息中存在Net-NTLM Hash，当攻击者获得了Net-NTLM Hash后，可以进行中间人攻击，重放Net-NTLM Hash，这种攻击手法也就是大家所说的 NTLM Relay(NTLM 中继)攻击。 进行NTLM Relay攻击有两步： 第一步是捕获Net-NTLM Hash 第二步是重放Net-NTLM Hash 捕获Net-NTLM Hash 捕获Net-NTLM Hash又有两步： 第一步是需要使目标服务器向攻击者发起 NTLM请求 第二步是使用工具来捕获服务器发来的NTLM请求 那么如何能使目标服务器向攻击者发起NTLM请求呢？
3.1K20编辑于 2022-01-20 - 来自专栏FreeBuf
如何使用Ketshash检测可疑的特权NTLM连接
关于Ketshash Ketshash是一款针对NTLM安全的分析与检测工具，该工具可以帮助广大研究人员基于事件查看器日志来分析和检测可疑的特权NTLM连接，尤其是Pass-The-Hash攻击。 KetshashRunner.exe的同一目录下； 2、双击KetshashRunner.exe，根据需要修改设置，并点击运行； Invoke-DetectPTH使用 参数解释 Targetcomputers：要检测NTLM 连接的目标计算机数组； TargetComputersFile：包含要检测NTLM连接的目标计算机列表的文件路径； StartTime：检测开始的时间，默认值为当前时间； UseKerberosCheck 它的存在只是为了显示另一个检测可疑NTLM连接的选项。在Windows版本10和Server 2016上，应在事件查看器中启用“Microsoft Windows LSA/操作”。 2016上，启用“内核对象审计”将提供更准确的信息，例如写入LSASS； LogFile：保存结果的日志文件路径； MaxHoursOfLegitLogonPriorToNTLMEvent：自NTLM
1.1K50编辑于 2023-02-24 - 来自专栏《ATT&CK视角下的红蓝攻防对抗》
Windows安全认证机制之NTLM本地认证
NTLM本地认证1. 3.NTLM协议类型NTLM协议认证包含了NTLM V1、NTLM V2、NTLM session v2三个版本，其中使用最多的还是NTLM V2协议。 NTLM V1协议：NTLM V1协议是NTLM第一版协议，NTLM V1协议在服务器和客户端之间的Challenge/Response中同时使用NT Hash和LM Hash。 NTLM V2 协议：NTLM V2也可称为NTLM第二版协议，是NTLM协议V1的改进版本，其通过强化认证协议及安全身份认证机制的方式来增加NTLM的安全性。 4.NTLM协议认证方式NTLM协议的认证方式可以划分成交互式NTLM身份验证”和“非交互式NTLM身份验证”两种类型，如下所示。
2K10编辑于 2024-01-22
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号