内网渗透-net-NTLM hash的攻击

主要观点总结

文章主要介绍了关于中继转发、NTLM身份验证以及获取net-NTLM hash的方法，包括SMB、LDAP、IMAP等协议的中继，以及通过中间人攻击、WPAD、web漏洞、LLMNR等方式获取net-NTLM hash的技巧。同时，文章还介绍了DeathStar工具的使用和一些防御措施。

关键观点总结

关键观点1: 中继原理

介绍了SMB、LDAP、IMAP等协议的中继原理，以及为何中继机器需要有域管理员或本地管理员权限。

关键观点2: 获取net-NTLM hash的方法

详细列举了通过中间人攻击、WPAD、web漏洞、LLMNR等方式获取net-NTLM hash的技巧。

关键观点3: 攻击流程

介绍了使用Responder、MultiRelay等进行中继反弹shell攻击的流程。

关键观点4: DeathStar工具的使用

详细说明了DeathStar的使用方法和流程，包括如何生成powershellListeners、如何自动寻找域控制器进行中继转发等。

关键观点5: 防御措施

指出了攻击都滥用了NLTM身份验证协议，因此防御的最佳方式是禁用NTLM并切换到Kerberos。同时，也提到了启用SMB签名、LDAP签名等缓解措施。

文章预览

0x01 前言 记得之前有个知识点还没有去写，虽然比较简单，但是很多文章对突出的重点写的不够详细，所以我搭个环境整理一下，具体一些认证原理、以及中继转发的过程，请查看我的上一篇文章。   0x02 中继原理 对于SMB协议，客户端在连接服务端时，默认先使用本机的用户名和密码hash尝试登录，所以可以模拟SMB服务器从而截获其它PC的net-ntlm hash。而作为中继的机器必须要有域管理员权限或本地管理员权限，且被中继的机器要关闭smb签名认证，否则怎么去做中继呢，比如本文案例用域控做中继。 除了中继smb协议，还可以中继LDAP，从域内内收集更多的信息，包括用户、他们的组成员、域计算机和域策略；中继IMAP，Exchange 服务器上的 IMAP 支持 NTLM 身份验证，若Exchange启用 NTLM 身份验证，可以登录用户的邮箱。这些可以用来进一步的扩大危害。   0x03 ………………………………