内网渗透 | 哈希传递攻击(Pass-the-Hash,PtH)

有些时候，当我们获取到了某台主机的 administrator 用户的密码哈希值 ，并且该主机的445端口打开着。我们则可以利用 exploit/windows/smb/psexec 模块用MSF进行远程登录(哈希传递攻击)。这个是rhost可以是一个主机，也可以设置一个网段。

这里目标主机的WindowsVista之后的机器，所以只能使用administrator用户进行攻击。

工作组环境，必须是administrator用户

• Windows Vista 之前的机器，可以使用本地管理员组内用户进行攻击。

• Windows Vista 之后的机器，只能是administrator用户的哈希值才能进行哈希传递攻击，其他用户(包括管理员用户但是非administrator)也不能使用哈希传递攻击，会提示拒绝访问。

Windows Server 2003

本地管理员：

• administrator

• xie

Windows Server 2008 

本地管理员：

• administrator

• xie

在域环境中，当我们获得了 域管理员组内用户 的NTLM哈希值，我们可以使用域内的一台主机用mimikatz对域内任何一台机器(包括域控)进行哈希传递攻击。执行完命令后，会弹出CMD窗口，在弹出的CMD窗口我们可以访问域内任何一台机器。前提是我们必须拥有域内任意一台主机的本地管理员权限和域管理员的密码NTLM哈希值。

• 域：xie.com

• 域控：WIN2008.xie.com

• 普通域主机：WIN2003

• 域管理员：test

• 域普通用户：hack

在弹出的cmd窗口中，使用wmiexec.vbs进行验证

只有域管理员的NTLM哈希值才可以进行哈希传递攻击，域普通用户的NTLM哈希值无法进行哈希传递攻击

前提：只适用于域环境，并且目标主机需要安装 KB2871997补丁

获取AES凭证

利用获得到的AES256或AES128进行Key攻击

域控未打 KB2871997 补丁前，无法使用 Key传递攻击

但是当我在域控上打上 KB2871997补丁后，Ke传递攻击仍然无法使用！这里不知道为什么。

实验

• Windows Server 2008R2：192.168.10.20

• 域管理员：administrator  、 xie
  

未打 KB2871997 补丁前，使用 administrator 账号可以成功进行哈希传递攻击，使用管理员账号 xie 无法进行哈希传递攻击。

打上 KB2871997 补丁后，使用 administrator 账号依然可以成功进行哈希传递攻击，使用管理员账号 xie 无法进行哈希传递攻击。

将 administrator 账号重命名为 admin 账号后，由于不存在 administrator 账号了，所以无法使用administrator 账号进行哈希传递攻击，但是可以使用  admin 账号紧进行哈希传递攻击，因为 admin 账号的SID值为 500。

修改目标机器的 LocalAccountTokenFilterPolicy 为1后，使用普通域管理员账号 xie 也可进行哈希传递攻击。

总结：其实 KB2871997 的补丁并没有多大的用处，由于在 Windows Vista 时代，微软就通过将LocalAccountTokenFilterPolicy 值默认设置为 0 来禁止非administrator账号的远程连接(包括哈希传递攻击)，但是administrator用户不受影响。即使目标主机更新了KB2871997的补丁，仍然可以使用PID=500的用户进行哈希传递攻击，而 PID=500 的用户默认为 aministrator，所以仍然可以使用administrator用户进行哈希传递攻击。并且在打了KB2871997 补丁的机器上，通过将LocalAccountTokenFilterPolicy设置为1，也还是可以使用普通管理员账号进行哈希传递攻击。