Over Pass the Hash/Pass the Key
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
O ataque Overpass The Hash/Pass The Key (PTK) é projetado para ambientes onde o protocolo NTLM tradicional é restrito, e a autenticação Kerberos tem precedência. Este ataque aproveita o hash NTLM ou as chaves AES de um usuário para solicitar tickets Kerberos, permitindo acesso não autorizado a recursos dentro de uma rede.
Para executar este ataque, o primeiro passo envolve adquirir o hash NTLM ou a senha da conta do usuário alvo. Após garantir essa informação, um Ticket Granting Ticket (TGT) para a conta pode ser obtido, permitindo que o atacante acesse serviços ou máquinas para os quais o usuário tem permissões.
O processo pode ser iniciado com os seguintes comandos:
Para cenários que necessitam de AES256, a opção -aesKey [AES key] pode ser utilizada. Além disso, o ticket adquirido pode ser empregado com várias ferramentas, incluindo smbexec.py ou wmiexec.py, ampliando o escopo do ataque.
Problemas encontrados, como PyAsn1Error ou KDC cannot find the name, são tipicamente resolvidos atualizando a biblioteca Impacket ou usando o nome do host em vez do endereço IP, garantindo compatibilidade com o KDC do Kerberos.
Uma sequência de comando alternativa usando Rubeus.exe demonstra outro aspecto desta técnica:
Este método espelha a abordagem Pass the Key, com foco em comandar e utilizar o ticket diretamente para fins de autenticação. É crucial notar que a iniciação de um pedido de TGT aciona o evento 4768: A Kerberos authentication ticket (TGT) was requested, significando um uso de RC4-HMAC por padrão, embora sistemas Windows modernos prefiram AES256.
Para se conformar à segurança operacional e usar AES256, o seguinte comando pode ser aplicado:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
