Over Pass the Hash/Pass the Key
Overpass The Hash/Pass The Key (PTK)
**Overpass The Hash/Pass The Key (PTK)**攻击旨在针对传统NTLM协议受限且Kerberos认证优先的环境。该攻击利用用户的NTLM哈希或AES密钥来获取Kerberos票据,从而未经授权地访问网络中的资源。
要执行此攻击,初始步骤涉及获取目标用户帐户的NTLM哈希或密码。在获得此信息后,可以获取帐户的票据授予票据(TGT),使攻击者能够访问用户具有权限的服务或计算机。
该过程可以通过以下命令启动:
对于需要使用AES256的情况,可以利用-aesKey [AES key]
选项。此外,获取的票据可以与各种工具一起使用,包括smbexec.py或wmiexec.py,从而扩大攻击范围。
遇到诸如_PyAsn1Error_或_KDC cannot find the name_等问题通常可以通过更新Impacket库或使用主机名代替IP地址来解决,确保与Kerberos KDC兼容。
使用Rubeus.exe的另一种命令序列展示了这种技术的另一个方面:
这种方法反映了通过密钥传递的方法,重点是挪用并直接利用票证进行认证。值得注意的是,发起TGT请求会触发事件4768:请求了一个Kerberos认证票证(TGT)
,默认情况下表示使用RC4-HMAC,尽管现代Windows系统更倾向于AES256。
为了符合运行安全性并使用AES256,可以应用以下命令:
参考
最后更新于