DEV Community
·
凭证转储：NTLM哈希转储
内容提要
NTLM（NT LAN Manager）是微软的安全协议，提供用户身份验证和加密。尽管已过时，但因兼容性仍被广泛使用。NTLM通过哈希存储用户密码，并使用挑战/响应机制进行身份验证。攻击者可通过NTLM凭证转储获取哈希，进而进行未授权访问。常用提取工具包括ProcDump和Mimikatz，需注意检测和误报风险。
关键要点
-
NTLM（NT LAN Manager）是微软的安全协议，提供用户身份验证和加密。
-
NTLM通过哈希存储用户密码，增强安全性，防止实际密码暴露。
-
NTLM使用挑战/响应机制进行身份验证，确保用户身份的安全性。
-
NTLM可以生成会话密钥，以加密客户端和服务器之间的通信。
-
NTLM凭证转储是攻击者从受损Windows系统收集NTLM哈希的关键后期利用活动。
-
攻击者可以通过提取NTLM哈希进行未授权访问或网络内的横向移动。
-
NTLM哈希通常存储在工作站的LSASS内存或域控制器的NTDS.dit文件中。
-
使用ProcDump、Mimikatz等工具可以提取NTLM哈希，存在未授权访问的风险。
-
ProcDump是合法的Windows工具，攻击者利用其捕获LSASS内存中的敏感数据。
-
使用comsvcs.dll直接转储LSASS内存是一种不易被发现的方法。
-
PowerSploit的MiniDump功能允许通过PowerShell转储LSASS内存，可能规避检测。
-
Mimikatz是常用的凭证转储工具，可以提取NTLM哈希并执行传递哈希攻击。
-
Windows Credential Editor（WCE）能够从机器中提取实时NTLM哈希。
延伸解读
NTLM的安全性与风险
尽管NTLM通过哈希存储用户密码以增强安全性，但其仍存在被攻击者利用的风险。攻击者可以通过凭证转储获取哈希，进而进行未授权访问。因此，企业在使用NTLM时需加强监控和防护措施，防止潜在的安全漏洞。
提取工具的合法性与滥用
许多提取NTLM哈希的工具如ProcDump和Mimikatz在合法场景下也被使用，但攻击者同样可以利用这些工具进行恶意活动。企业应关注这些工具的使用情况，确保其仅在合规的情况下被使用，以降低被滥用的风险。
检测与误报的挑战
在检测NTLM哈希提取活动时，误报是一个常见问题。由于某些工具在合法操作中也会被使用，企业需要优化其SIEM和EDR系统，以减少误报并提高对真正威胁的响应能力。
延伸问答
NTLM是什么？
NTLM（NT LAN Manager）是微软的一套安全协议，提供用户身份验证和加密。
NTLM如何存储用户密码？
NTLM通过哈希存储用户密码，增强安全性，防止实际密码暴露。
攻击者如何提取NTLM哈希？
攻击者可以使用工具如ProcDump、Mimikatz等从LSASS内存中提取NTLM哈希。
NTLM凭证转储的风险是什么？
NTLM凭证转储可能导致未授权访问和网络内的横向移动。
使用ProcDump提取NTLM哈希的检测策略是什么？
检测策略包括监控事件ID 4688，检查进程名称为'procdump.exe'和命令行包含'lsass.exe'。
Mimikatz工具的功能是什么？
Mimikatz可以提取LSASS内存中的NTLM哈希，并执行传递哈希攻击。
