взлом пароля рабочей станции в домене

Открывается новое окно.

Скопировав полученный хэш пароля, запускаем интепретатор командной строки уже от имени администратора домена с помощью специально для этого разработанной утилиты msvctl.

Программные средства: утилита msvctl ( ), команда net use;

Шаг третий. Подключение к административному скрытому ресурсу IPC$.

Уже на этом этапе можно начать взламывать пароль администратора домена по его хэш-значению с помощью утилиты L0phtCrack или LCP, но злоумышленнику интереснее взломать пароли всех пользователей домена.

С помощью утилиты gsecdump получаем хэши паролей учетных записей пользователей, залогинившихся на данную рабочую станцию.

Программные средства: утилита gsecdump ( )

Шаг второй. Получение хэша пароля администратора.

С помощью утилиты LanSpy сканируем все доступные рабочие станции, пока не найдем ту за которой работает администратор. Пусть его учетная запись будет называться PetyaAdmin.

Программные средства: утилита LanSpy ( ).

Шаг первый. Поиск учетной записи администратора.

У злоумышленника есть возможность определить имя учетной записи администратора домена (либо он знает фамилию, либо из имени учетной записи администратора понятно какого уровня привилегиями обладает учетная запись. Администраторы любят включать в имя admin , adm и т.п.)

Злоумышленник (или консультант что намного лучше) смог получить пароль локального администратора на пользовательских рабочих станциях.

Используется Active Directory (Windows 2003);

Исходные условия:

Давайте рассмотрим, как это может произойти:

Интересной особенностью функционирования протокола SMB является то, что для того чтобы подключаться к серверу, вовсе необязательно знать пароль, достаточно лишь обладать NT- или LM-хэшем учетной записи. Следовательно, обладая хэшем-пароля администратора домена, можно спокойно получить хэши паролей всех пользователей домена, после чего проникновение в любую другую систему компании становится лишь вопросом времени.

Недавно в ходе проведения проекта по тестированию на проникновение применил интересную технику NTLM-инъекции (NTLM-injection), которая может позволить потенциальному злоумышленнику полностью скомпрометировать корпоративную сеть.

“Единственное верное мерило вашего успеха это то, что вы делаете, в сравнении с вашим действительным потенциалом (Пол Мейер)”

Атака с использованием NTLM-инъекции | блог Дорофеева