Уязвимость заключается в том, что злоумышленник может получить NT-хеш учетной записи и использовать его для аутентификации, нарушитель получает возможность в любое время атаковать ресурсы домена с привилегиями скомпрометированной учетной записи. Для того чтобы получить NT-хеш, злоумышленник может использовать результаты запуска утилиты Mimikatz.
На рисунке выше показан запуск Mimikatz на одном из узлов, а на следующем рисунке продемонстрирован результат успешной аутентификации методом pass the hash с полученным хешем пользователя. Этот пользователь входил в группу администраторов серверов.
privilege::debug
sekurlsa:
th /user:admin /domain:[domain] /ntlm:[hash]
Если нам известен открытый пароль, то мы можем получаем его хеш с помощью модуля сгурто::hash. Сделать это можно следующей командой:
crypto::hash /password:[password]
Механизмы авторизации в Windows построены таким образом, что, даже если нарушитель не смог получить пароль администратора, он получит NT-хеш, который может быть использован для аутентификации в обход двухфакторного механизма при атаке pass the hash.
На рисунке выше показан запуск Mimikatz на одном из узлов, а на следующем рисунке продемонстрирован результат успешной аутентификации методом pass the hash с полученным хешем пользователя. Этот пользователь входил в группу администраторов серверов.
privilege::debug
sekurlsa:
th /user:admin /domain:[domain] /ntlm:[hash]
Если нам известен открытый пароль, то мы можем получаем его хеш с помощью модуля сгурто::hash. Сделать это можно следующей командой:
crypto::hash /password:[password]
Механизмы авторизации в Windows построены таким образом, что, даже если нарушитель не смог получить пароль администратора, он получит NT-хеш, который может быть использован для аутентификации в обход двухфакторного механизма при атаке pass the hash.
