Seguro algún momento escuchaste mencionar el término Pass The Hash, el cual es utilizado para realizar movimiento lateral, en esta entrada intentaremos explicar de forma resumida en que consiste.
Que se necesita para hacer un PTH.
Lo que se necesita es contar con un HASH de un usuario en formato NTLM el método de obtención de este HASH puede ser a través por ejemplo de dumpeo de Memoria con alguna técnica o herramienta, y la extracción de Hashes por SAM y Security.
Para obtener este Hash inicial es necesario contar con privilegios administrativos sobre algún equipo de la red interna, para posteriormente ir extrayendo de otros equipos.
Es decir lo que hacemos es usar este HASH para autenticarnos sin necesidad de crackear el credencial, no necesitamos en ningún momento conocer el credencial en texto claro.
Actualmente en el blog estamos trabajando en una serie de entradas de CrackmapExec que nos permite hacer este tipo de ataques, a continuación mencionaremos algunas herramientas que nos permite autenticarnos.
- Crackmapexec
- Mimikatz
- Impacket (smbclient.py, psexec.py, wmiexec.py,rpcdump.py, lookupsid.py)
- Metasploit (smb_login, psexec)
- Empire Framework (Invoke_smbexec)
- PTH-Toolkit
Solo listamos algunas herramientas que nos permiten realizar esta tecnica.
A continuación compartimos algunos enlaces adicionales sobre Pass The Hash.
- Video de BlackHat USA 2012
- Black Hat USA 2013 - Pass the Hash 2: The Admin’s Revenge
- Guia de mitigicacion de Microsoft
- Pass-the-Hash in Windows 10
Espero les agrade esta entrada es sumamente corta con el fin de aportar con este pequeño post, nos vemos mañana con otro post de CrackmapExec.
Regards,
Snifer
