Windows系统散列值获取分析与防范

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

LM Hash && NTLM Hash

Windows操作系统通常使用两种方法对用户的明文进行加密处理，在域环境中，用户信息存储在ntds.dit中，加密后为散列值。Windows操作系统中的密码一般由两部分组成，一部分为LM Hash，另一部分为NTLM Hash。在Windows操作系统中，Hash的结构通常如下：

username:RID:LM-HASH:NT-HASH

LM Hash的全名为“LAN Manager Hash”,是微软为了提高Windows操作系统的安全性而采用的散列值加密算法，其本质为DES加密算法。LM Hash的生成原理在这里就不再赘述(密码不足14字节将用0补全)。尽管LM Hash较容易被破解，但为了保证系统的兼容性，Windows只是将LM Hash禁用了。LM Hash明文密码被限定在14位以内，也就是说，如果要停止使用LM Hash，将用的密码设置为14位以上就可以了。如果LM Hash被禁用了，攻击者通过工具抓取的LM Hash通常为"aad3b435b51404eeaad3b435b51404ee"（表示LM Hash为空值或者被禁用了）

NTLM Hash是微软为了提高安全性的同时保证兼容性而设计的散列加密算法。NTLM Hash是基于MD4加密算法进行加密的。

一.单机密码抓取与防范

要想在Windows操作系统中抓取散列值或明文密码，必须将权限提升至System。本地用户名、散列值和其他安全验证信息都保存在SAM文件中。lsass.exe进程用于实现Windows的安全策略(本地安全策略和登录策略)。可以使用工具将散列值和明文密码从内存中的lsass.exe进程或SAM文件中导出。

在Windows操作系统中，SAM文件的保存位置是C:\Windows\System32\config。该文件是被锁定，不允许复制。在渗透测试中，可以采用传统方法，在关闭Windows操作系统之后，使用PE盘进入文件管理环境，直接复制SAM文件，也可以使用VSS等方法进行复制。

1.GetPass

打开GetPass工具所在的目录。运行该程序后，即可获得明文密码。

2.PwDump7

在命令行环境中运行PwDump7程序，可以得到系统中所有账户的NTLM Hash

3.QuarksPwDump

在命令行环境中输入“QuarksPwDump.exe --dump-hash-local”，导出三个用户的NTLM Hash