הסבר על NTLM Hash
ועל התקפת Pass-The-Hash

תמלול ההרצאה: הסבר על NTLM Hash ועל התקפת Pass-The-Hash

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על NTLM Hash ועל התקפת Pass-The-Hash» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו נלמד איך עובד NTLM, איך פורצים אותו ואיך מגינים. אנחנו ממש נרד לרמה של פאקטים של NTLM ונבין מה קורה בפנוכו. לפני שאני אסביר לכם איך עובד NTLM, אני רוצה לתת דגש שיש האשים מקומיים שגם להם בטעות נותנים שם של NTLM האש.

2. 00:25

   האמת, השם האמיתי שצריך לתת להם זה NT-Hash. NT זה New Technology, הכוונה לכל ה-Windows של היום. anti hash אבל הרבה פעמים אומרים ntlm hash וזה ממש ממש מבלבל כי יש hashing שהם לוקאליים במחשב ויש hashing שעוברים בנטוורק ברשת זה לא אותם hashing זה שני דברים שונים לגמרי תכף נבין למה וזה ממש ממש מבלבל לנטוורק hashing הרבה פעמים

3. 00:51

   אומרים ntlm v2 גרסה שנייה הייתה פעם גרסה ראשונה זה גרסה של פרוטוקול העימות פרוטוקול של בדיקת שם וסיסמה של יוזר. מזל שמוסיפים את ה-v2 לפעמים כדי לזהות שזה פרוטוקול של תקשורת.

4. 01:06

   אז אני מבקש ממכם לא להתבלבל בין ntlm-hash או בשמו האמיתי nthash המקומי שהוא לוקאלי למחשב הוא בחיים לא עובר ברשת זה למעשה hash ערבול של סיסמה של יוזר זה למעשה כמו סיסמה מקורית של יוזר שעברה ערבול חד-כיווני היא זאת שיושבת בארדיסק של המחשב ב-SAM, בכובד SAM או בשרת המרכזי בכובד סנטי די אס דיד בדומיין קונטרולר זאת הסיסמה של היוזר פשוט במקום לשמור אותה בצורה

5. 01:38

   גלויה שומרים את הסיסמה המקורית לאחר ערבול אנחנו גם יכולים לשלוף את הסיסמה הזאת עם רג נקודה אקזה שיש לנו בכל ווינדוס יש שם פקודת סייף ששולפת לי את כובד SAM יש לנו הרצאות איך עושים את זה ברגע שאני מבצע את הדבר הזה אני למעשה גנבתי את ההאש של לסיסמה המקורית ומבחינת המערכת זה כמו לגנוב את הסיסמה עצמה זה כמעט אותו דבר אני יכול להזדהות עם ה-hash הזה מול כל מיני שירותים אני יכול להיכנס ל-Mimicats ולהריץ Secure

6. 02:11

   LSA past the hash ומה שאני עושה אני לוקח את ה-hash הזה שהוצאתי מתוך המחשב ומזדהה איתו בחיבורי רשת אני בא להתחבר לאנשהו אני טוען שאני איזשהו יוזר שגנבתי לו את ה-hash והצד השני מאמין לי כי אני נותן לו אותה ntlm hash של היוזר המקורי ולמה הוא מאמין לי כי גם בצד השני שמור אותו ntlm hash הרי כבר המון שנים אף אחד לא שומר את הסיסמה המקורית בארדיסק כי מפחדים שיגנבו

7. 02:41

   ארדיסק מתוך השרת כל השרתים מסיבות של אבטחה