内部独白攻击:在不触及 LSASS 的情况下获取 NTLM 哈希
最近,微软在 Windows 10 企业版和 Windows Server 2016 中推出了 Credential Guard,该功能利用基于虚拟化的安全技术来隔离机密信息,非常有效地阻止 Mimikatz 直接从内存中检索哈希值。此外,Mimikatz 已经成为大多数终端防护解决方案的主要攻击目标,这些解决方案在检测和防止该工具方面非常积极。虽然这些努力注定会失败,但它们却越来越成为一种麻烦。
NetNTLM 是 Windows 的挑战-响应协议，主要用于 Kerberos 不受支持的场景。在 NetNTLM 中，服务器向客户端发送一个随机 8 字节的非序列化数（nonce）作为挑战，客户端计算出响应，将挑战与使用 NTLM 哈希作为密钥进行处理，该密钥是用户密码的 MD4 哈希。NetNTLM 身份验证协议有两个版本，两者都容易受到某些攻击。当然，版本 1 比版本 2 弱得多，因此从 Windows Vista/2008 开始，默认情况下就禁用了 NetNTLM 版本 1。
由于 NTLM 哈希值是计算响应的关键,攻击者不一定需要获取受害者的明文密码才能进行身份验证,因此使用 Mimikatz 从 LSASS 内存中获取哈希值几乎等同于窃取了明文密码。 Chris Hummel 在 2009 年发表了一篇文章,描述了这种技术,并将其命名为 "传递哈希值" [https://www.sans.org/reading-room/whitepapers/testing/crack-pass-hash-33219]。
暂无开放 Issues，或尚未同步最近议题。