0x1、pth 攻击原理

PTH（Pass-the-Hash）攻击是一种针对身份验证机制的攻击手段，攻击者通过获取用户的哈希密码来伪装成该用户，从而访问受保护的资源，无需解开 hash 得到明文密码进行攻击访问。

0x2、知识点

在Windows操作系统中，用户的密码并不是以明文形式存储的，而是通过加密算法生成的哈希值来存储。这些哈希值主要有两种：LM Hash和NTLM Hash。

LM Hash：全称为 LAN Manager Hash ，计算机最早的加密算法，基于DES加密算法。

NTLM Hash：全称为 NT LAN Manager，基于MD4算法，克服LM协议的安全缺陷而设计的，它提供了更加安全的网络认证机制。在实际应用中，NTLM协议已经取代了LM协议，成为Windows网络环境中主要的认证协议。

在用户登录时，系统会将输入的密码转换成相应的哈希值，并与存储在SAM文件或NTDS.DIT文件中的哈希值进行比较，以验证用户的身份。由于这些哈希值是单向加密的，理论上不能被解密以恢复原始密码，从而提高了系统的安全性。

hash 举例：

Administrator:500:AAD3B435B51404EEAAD3B435B51404EE:31D6CFE0D16AE931B73C59D7E0C089C0

其中AAD3B435B51404EEAAD3B435B51404EE是LM Hash而31D6CFE0D16AE931B73C59D7E0C089C0是NTLM Hash。

0x3、攻击流程

● 1.获得一台域主机的权限

● 2.Dump内存获得用户hash

● 3.通过pass the hash尝试登录其他主机

● 4.继续搜集hash并尝试远程登录

● 5.直到获得域管理员账户hash，登录域控，最终成功控制整个域