DEV Community
·
凭证转储：NTLM 哈希检测与防范
内容提要
NTLM（NT LAN Manager）是微软的安全协议，用于用户身份验证和加密。尽管被视为过时，因兼容旧系统仍被广泛使用。NTLM通过存储密码哈希而非明文密码来增强安全性，采用挑战/响应机制进行身份验证，并生成会话密钥加密通信。攻击者可通过提取NTLM哈希进行攻击，常用工具ProcDump可从LSASS内存中提取哈希，需注意误报风险。
关键要点
-
NTLM（NT LAN Manager）是微软的安全协议，用于用户身份验证和加密。
-
尽管被视为过时，NTLM因兼容旧系统仍被广泛使用。
-
NTLM通过存储密码哈希而非明文密码来增强安全性。
-
NTLM采用挑战/响应机制进行身份验证，并生成会话密钥加密通信。
-
攻击者可通过提取NTLM哈希进行攻击，常用工具ProcDump可从LSASS内存中提取哈希。
-
NTLM存储用户密码哈希、会话密钥和安全标识符（SIDs）以增强安全性。
-
NTLM哈希提取通常发生在攻击者获得管理员权限后。
-
LSASS进程内存和NTDS.dit文件是NTLM哈希的主要存储位置。
-
攻击者提取NTLM哈希后可进行传递哈希攻击，获取未经授权的访问。
-
使用ProcDump提取NTLM哈希的步骤包括执行procdump.exe并生成转储文件。
-
SIEM和EDR可以用于检测ProcDump的使用，但可能会出现误报。
延伸解读
NTLM的安全性与局限性
尽管NTLM通过存储密码哈希而非明文密码来增强安全性，但其本身已被视为过时。随着网络安全威胁的演变，组织应考虑迁移到更现代的协议，如Kerberos，以提高安全性和功能性。NTLM的局限性在于其对旧系统的兼容性，可能导致安全隐患。
NTLM哈希提取的风险
攻击者通过提取NTLM哈希进行传递哈希攻击，获取未经授权的访问。LSASS进程内存和NTDS.dit文件是主要的哈希存储位置，攻击者通常在获得管理员权限后进行提取。组织需加强对这些关键位置的监控，以防止潜在的安全漏洞。
ProcDump工具的误报风险
ProcDump是一个合法的Windows工具，常用于故障排除，但其被攻击者滥用进行哈希提取的情况也很常见。使用SIEM和EDR进行检测时，需注意可能出现的误报，特别是在正常的管理任务中，可能会误判为攻击行为。
延伸问答
NTLM是什么，它的主要功能是什么？
NTLM（NT LAN Manager）是微软的一套安全协议，主要用于用户身份验证和加密，增强网络资源访问的安全性。
NTLM如何增强安全性？
NTLM通过存储密码哈希而非明文密码，并采用挑战/响应机制进行身份验证，从而增强安全性。
攻击者如何提取NTLM哈希？
攻击者通常在获得管理员权限后，通过访问LSASS进程内存或NTDS.dit文件来提取NTLM哈希。
ProcDump工具在NTLM哈希提取中的作用是什么？
ProcDump是一个Windows原生工具，攻击者常用它来转储LSASS内存，从中提取NTLM哈希。
提取NTLM哈希后，攻击者可以做什么？
攻击者提取NTLM哈希后，可以进行传递哈希攻击，获取未经授权的访问权限。
如何检测ProcDump的使用？
可以通过SIEM和EDR工具检测ProcDump的使用，常见的检测查询包括监控进程名称和命令行参数。
