תפיסה ופריצה של NTLM Hash
עם Responder ו-Wireshark

בלי כתוביותעם כתוביות

מילון מושגים:

NTLM - פרוטוקול אימות ותיק של מיקרוסופט המבוסס על ערכי האש של סיסמאות, שקדם ל-Kerberos.

Wireshark - כלי ללכידה ולניתוח של תעבורת רשת, המציג את החבילות העוברות לצורך אבחון ובדיקה.

NetBIOS - ממשק ותיק שמאפשר למחשבים ברשת מקומית לזהות זה את זה לפי שם ולתקשר.

IPS - מערכת למניעת חדירות שמזהה תעבורה זדונית וחוסמת אותה בזמן אמת.

IDS - מערכת לזיהוי חדירות שמנטרת תעבורת רשת או מערכת ומתריעה על פעילות חשודה.

מפתח ציבורי - המפתח הגלוי בהצפנה אסימטרית, שאפשר לחלוק עם כולם, ומשמש להצפנה או לאימות חתימה.

מפתח פרטי - המפתח הסודי בהצפנה אסימטרית, שנשמר אצל בעליו בלבד ומשמש לפענוח או לחתימה דיגיטלית.

הנדסה חברתית - מניפולציה על בני אדם כדי לגרום להם למסור מידע רגיש או לבצע פעולות, במקום תקיפה טכנית של המערכת.

תפיסה ופריצה של NTLM Hash עם Responder ו-Wireshark

בשיעור זה נצפה באחת מההתקפות החזקות ביותר על ארגון, שבה הכלי Responder מתחזה למחשבים ברשת, גונב מהמשתמשים את hash הסיסמאות שלהם ואז מפצח אותם. נראה את הפרוטוקולים שגורמים לזה, כיצד עובד עימות NTLM בתוך ה HTTP, כיצד שוברים את ה hash בעזרת John the Ripper ו hashcat, וכיצד מונעים את ההתקפה.

נושאי הסיכום המוצגים בשיעור:

1. הרעיון של Responder: הכלי מאזין ברשת לקריאות של זיהוי מחשבים, מתחזה למחשב המבוקש, מבקש עימות כמחשב לגיטימי ואוסף את hash הסיסמאות שהלקוחות מוסרים לו. ההתקפה דורשת נוכחות באותה רשת פיזית עם הקורבן, ואינה עובדת דרך האינטרנט.

2. הסביבה: ה Responder רץ במחשב התוקף על כרטיס הרשת שלו, והקורבן הוא תחנת Windows 11 מעודכנת לחלוטין כשהאנטי וירוס פעיל ובלי שום טריקים. הקורבן פותח דפדפן וכותב בשורת הכתובת מילה פשוטה בלי סיומת כתובת, כמו שמותר לו לעשות כשהוא מחפש בגוגל או ניגש אל שרת פנימי.

3. הצעקות ברשת: מכיוון שה DNS לא החזיר תשובה על השם שהוקלד, התחנה צועקת ברשת בפרוטוקולים המיועדים לזה, LLMNR ומעליו mDNS, שהוא פרוטוקול של אפל שווינדוס תומך בו מאז Windows 10. LLMNR קיים מאז וויסטה, ולפני כן פעל פרוטוקול ה NetBIOS של ימי XP, ובווינדוס 10 ו 11 נתמכים גם שני הפרוטוקולים החדשים יחד.

4. התשובה של התוקף: התוקף עונה לצעקה שהמחשב המבוקש הוא הוא, ומבקש עימות בפרוטוקול NTLM. ה LSASS, הרכיב שיושב בזיכרון ומזדהה במקום המשתמש, מוסיד אוטומטית את hash הסיסמה אל השרת המתחזה, בלי שהמשתמש ידרש להזין דבר ובלי שידע שמשהו קרה. המוסר הוא ב hash ולא בטקסט גלוי.

5. צפייה בחבילות בעזרת Wireshark: מפעילים גם את Wireshark וחוזרים על ההדגמה, ורואים את השאילתה והתשובה בפרוטוקול LLMNR. שימו לב שהפרוטוקול פועל אל כתובת מולטיקאסט, כתובת וירטואלית של 224 שמאזינים לה כל התחנות שמפעילות את הפרוטוקול, בדומה לתדר של תחנת רדיו, והתשובה נשלחת ישירות אל הקורבן שצעק.

6. עימות NTLM בתוך HTTP: לאחר התשובה הקורבן פונה אל השרת המתחזה ב HTTP ומקבל הודעת גישה אסורה, שמבקשת אימות NTLM. הפאקט הראשון שהקליינט שולח הוא ה negotiate, שמציג את היכולות שלו בפלאגים, ו Wireshark יודע להסביר את משמעות כל פלאג, למשל תמיכה באבטחה מורחבת.

7. האתגר והתשובה: השרת שולח challenge, אתגר אקראי, ומבקש מהקליינט להוכיח את זהותו. הקליינט מצפין את האתגר בעזרת hash הסיסמה של המשתמש ומחזיר response, והשרת שהיה אמור להכיר את הסיסמה היה מצפין את אותו אתגר בעצמו ומשווה. בפאקט האחרון בלבד מתגלה שם המשתמש, וכך נראה בפועל ש NTLM הוא פרוטוקול עימות, הקודם לקרברוס, שמשולב בתוך ה HTTP.

8. מדוע ה hash משתנה בכל פעם: בקובץ הלוג של Responder כל hash שנאסף שונה מקודמו, וזה מפני שהשרת מטיל בכל פעם challenge חדש, והתשובה היא תוצאת ההצפנה שלו. לכן אי אפשר לעשות שימוש חוזר בתשובה ישנה.

9. פריצת ה hash עם John the Ripper: נכנסים לתיקיית הלוג של Responder, שבה נאספו כל ה hashים, ומריצים את John the Ripper על הקובץ עם מילון סיסמאות. הכלי מנסה כל סיסמה מהמילון, מצפין איתה את ה challenge שנרשם ובודק אם התוצאה מתאימה ל response שנאסף, ומוצא את הסיסמה במהירות. אם מריצים שוב, הכלי עונה שכבר פרץ ודורש להשתמש באפשרות show כדי להציג את התוצאה.

10. פריצה עם hashcat: אותה פעולה מתבצעת גם ב hashcat, שמקבל את הסוג של ה hash, במקרה זה NTLMv2 תחת המספר המתאים, את קובץ ה hashים ואת המילון, מסיים את העבודה ומציג את הסיסמה, וגם אותו יש להריץ שוב עם show כדי לראות תוצאות קודמות.

11. ההגנה מפני ההתקפה: מפני שהבסיס של ההתקפה הוא הצעקות ברשת, ההגנה היא לנתק את כל פרוטוקולי הצעקה, וזה נעשה ברגיסטרי של המחשבים או בגרופ פוליסי שמתפרס על כל הארגון, בהוראה לא להשתמש ב LLMNR וב mDNS.

12. הגדרות מתקדמות ל Responder: את הכלי מפעילים משורת פקודה עם אפשרויות שונות, וקיים גם קובץ הגדרות responder.conf שפותחים בעורך טקסט. שם מגדירים אילו שמות לענות להם ואילו לא, אילו כתובות IP יקבלו תשובה ואילו ייחסמו מפני שעלולות להיות תחנות שמנסות לגלות את התוקף, ובמיוחד נמנעים מלענות כשמחפשים ברשת מערכות אבטחה כמו IPS ו IDS.

13. יכולות נוספות של הכלי: אפשר להגדיר שכשמתחברים אל השרת ה HTTP שהוא מציע יישלח אל הלקוח קובץ exe מוכן או עמוד HTML, ושכשרת HTTPS הוא מתחזה אליו ישתמש בתעודה דיגיטלית מסוימת עם מפתח ציבורי ומפתח פרטי. עם זאת, להשגת ה hashים מספיק להפעיל את הכלי ולחכות.

14. הבדל בין דפדפנים: בניסויים שנעשו התגלה הבדל מעניין, כשהדפדפן הוא Edge הקלדה של מילה בודדת אינה מייצרת צעקות ברשת, וההתקפה תצליח רק כשהכתובת מלאה עם ה HTTP בתחילתה, ואז צריך לשלב הנדסה חברתית ולשלוח למשתמש במייל לינק שהוא ילחץ עליו. בדפדפנים אחרים הקלדה הפשוטה מספיקה.

בשיעור זה נראה כיצד Responder מאזין לצעקות ה LLMNR וה mDNS ברשת, מתחזה ואוסף hashי NTLM שה LSASS מוסר באופן אוטומטי, נעקב אחרי עימות NTLM בתוך ה HTTP בעזרת Wireshark, פרצנו את ה hashים בעזרת John the Ripper ו hashcat, והוסבר שההגנה היא ניתוק הפרוטוקולים ברגיסטרי או בגרופ פוליסי, ושמול דפדפנים זהירים נדרשת גם הנדסה חברתית.

פרקי ההרצאה: תפיסה ופריצה של NTLM Hash עם Responder ו-Wireshark

תמלול ההרצאה: תפיסה ופריצה של NTLM Hash עם Responder ו-Wireshark

הטקסט המלא של הדקות הראשונות בהרצאה «תפיסה ופריצה של NTLM Hash עם Responder ו-Wireshark» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו אני אראה לכם התקפה הכי חזקה שאני מכיר על ארגון אני פשוט מאוד מפעיל את הריספונדר שמתחזה למחשבים ברשת וגונב מהם את כל ההאשים של הסיסמאות שלהם, ואז מפצח אותם הריספונדר הזה הולך לענות לקריאות אלה למנהר ברשת, נט ביוס ברשת, mdns ברשת שזה קריאות למחשבים שdns לא מצא תשובה, dns לא ידע משהו
00:30
אז Windows 11 צעק ברשת אולי מישהו מכיר את המחשב הזה ואני כאקר עונה כן כן זה אני בוא תתחבר אליי כי אותי חיפשת ותוך כדי חיבור אני מבקש לעבור עימות כאילו אני מחשב לגיטימי ברשת אז הוא מוסר לי את פרטי ההזדהות שלו ואני גונב אותם והוא עושה את זה אוטומט אבל עם האש ואז צריך יהיה לפרוץ את ההאש בואו נראה איך כל זה קורה אז יש לי כרגע את הריספונדר
00:31
שעובד על כרטיס רשת ETHF במחשב של האקר, אני נמצא באותה רשת פיזית עם הקורבן, זה לא עובד דרך האינטרנט, אני חייב להיות באותה רשת איפה שמתבצעות הצעקות.
01:09
עכשיו שימו לב מה עושה הקורבן, הקורבן שלי פותח במקום העבודה הרגיל שלו דבדפן חרום, הכי מעודכן, Windows 11 עם כל העדכונים, שימו לב האנטיווירוס עובד, אין פה שום טריקים.
01:22
ואז הוא כותב, נניח ynet, לראות חדשות. הדבדפן, לא בטוח שזה ynet.co.il, ynet.com, הוא לא כתב לו נקודה משהו אולי זה בכלל מילה לחיפוש בגוגל ואולי זה שם של מחשב שנמצא באותה רשת עושה enter ושימו לב הלקוח פה לא רואה שום דבר מסוכן הוא כולה כתב ynet enter לא עשה שום פעולה מסוכנת אבל האקר פה קיבל את ההאש של היוזר איך הוא קיבל את ההאש שימו לב מה קרה פה הקליינט
01:51
צעק בפרוטוקול אלה מנהר ברשת האם מישהו מכיר ynet דרך אגב למה הוא צעק את זה כי dns לא החזיר לו תשובה dns אמר אני לא יודע מי זה זה מחשב פנים ארגוני שקוראים לו ynet.
02:03
אז התחנה Windows 11, שימו לב מה היא עושה, היא צועקת גם בפרוטוקול mdns, זה של אפל, הם התחילו לתמוך בו רק בווינדוס 10. אלה למנאר שהם תומכים בו מאז ויסטה, זה שהיה לפני ווינדוס 7. דרך אגב, לפני אלה למנאר הזה היה פרוטוקול נטביוס.
02:19
נטביוס ניימס זה הצעקות הישנות מימים של אקספי אוד, אלה למנאר זה הצעקות החדשות החל מוויסטה, mdns זה של אפל.
02:30
ואפל אימצו MDNS ומייקרוסופט אימצו LLMNR היום בווינדוס 10 ו-11 כולם תומכים גם ב-MDNS וגם ב-LLMNR בקיצור כל אלו לא משנה באיזה שפה אתה צועק ברשת בסוף הריספונדר עונה לך ואתה עובר מולו זיהוי ב-NTLM וואי כמה חבל ששכחתי להפעיל ווייר שארק בוא נפעיל ווייר שארק ונעשה את כל הסיפור הזה עוד פעם אז אני מפעיל פה
02:31
ריספונדר מפעיל פה ווייר שארק הנה יש לנו פה ווייר שארק שרץ יש לנו פה את הריספונדר שמחכה לקליינט תמים, והקליינט התמים בא לדפדפן וכותב פרקטיקיו.
03:06
רוצה לראות סרטונים, רוצה ללמוד, רק הוא לא זוכר אם זה co.il.com.com.ma, עושה אנטר. ואז מה שקורה, שיש פה צעקה ברשת מי זה מחשב של פרקטיקיו, אולי יש מחשב כזה, הנה, צעקה ב-ל.ל.מ.נ.ר, והאקר עונה שזה אני, ומבקש עימות ב-ntlm.
03:24
בגלל שזה ntlm, הדפדפן עושה את זה אוטומט, בלי לשאול את המשתמש, זה האלסאס הזה שיושב בזיכרון עושה את זה. זוכרים האלסאס הזה שיושב בזיכרון וזוכר את כל הסיסמאות של כל היוזרים?
03:38
הוא עושה טובה למשתמש ובמקומו מוסר את ההאש שלו לשרת שהוא מנסה להתחבר אליו. האלסאס הזה זוכר את כל הסיסמאות כי הוא רוצה לעזור לנו ולהזדהות במקומנו, אבל רק בהאש או רק בקרברוס.
03:53
הוא לא עושה את זה בפליין טקסט, בטקסט גלוי, בקליר טקסט. ועושה רק סיסמה ב-hash. בקיצור, המשתמש, אם לא שמתם לב, כותב רק שם של אתר ועושה enter. הוא לא צריך להזין לבד שום דבר, כי אלסס במקומו מעביר לי את ה-hash שלו ועושה את כל העימות, ואני לוקח את ה-hash שלו ויכול לנסות לשבור אותו מהמילון.
04:15
תשימו לב שהמשתמש התמים לא עשה שום פעולה מסוכנת חוץ מלרשום שם של אתר וללחוץ enter, אבל כמילה אחת. ולכן ההתקפה הזאת היא מאוד חזקה, כי אני אוסף פה סיסמאות של כל היוזרים, שהווינדוס ביי דיזיין נותן לי אותם.
04:30
איך מונעים את הדבר הזה? מונעים צעקות ברשת. כל האלה למנהר הזה, כל הפרוטוקולים האלו שצועקים ברשת, צריך לקבוע ברג'יסטרי של המחשב, בגרופ פוליסי, אל תשתמשו בפרוטוקולים של צעקות.
04:42
בואו נראה איך שוברים אותם, ואחרי זה נראה גם מה קרה לנו בתוך הפאקט. כדי לשבור את ההאש הזה, זה די פשוט ודי מהיר, אנחנו נכנסים לתיקייה של הלוג, כי רספונדר גם אוסף לנו את כל המידע פה בתוך הלוג.
04:57
את ההתקפה הקודמת שעשינו עם http basic clear text יש לנו פה התקפה שעכשיו עשינו אתכם http עם ntlm על הקורבן הזה 130 בואו נראה מה אספנו מהקורבן הזה נעשה cut על הקובץ הזה ואנחנו רואים פה בעצם את כל ההאשים שאספנו מהקורבן הנה בבקשה דיוויד וההאש שלו אם תשאלו אותי למה ההאש הזה כל
05:20
פעם שונה כי ה-challenge פה הוא אחד ו-challenge פה הוא אחר השרת שזה אני כביכול זורק לו כל פעם challenge אתגר כלשהו להצפנה ואז מקבל ממנו תשובה אז תסתכלו כל פעם אתגר שונה, כך עובד ntlm, פרוטוקול עימות, זה שהיה לפני קרברוס בואו נראה את זה דרך אגב בווייר שארק, תכף אנחנו נשבור את ההאש הזה אם אנחנו כבר נכנסנו
05:45
לקובץ אני רוצה לחפש ולהראות לכם ממש רואים את הצ'לנג'ים האלו ואת הריספונסים האלו בתוך הפאקט זה מעניין מאוד נעצור שנייה את התפיסת פאקטים שלנו קודם כל בואו נראה מה קרה לנו בפרוטוקול אלה הם מנהר.
06:00
הנה אנחנו רואים כאן שיש לנו פה שאילתה מי זה פרקטיקיו והנה תשובה זה אני. מחשב 132. הנה עוד פעם צעקה מי זה פרקטיקיו הנה זה אני. אנחנו רואים ממש את הצעקות האלו.
06:12
דרך אגב אם תשימו לב אלה אלה מנהר הזה עובד בכתובת IP 224.0.0.252 זאת אומרת הלקוח ב-130 שלח פאקט ל-IP הזה וכל מי שמופעל אצלו אלה למנהר מאזין בכתובת IP הזאת.
06:29
מי שלא רוצה שלא יאזין. זה נקרא מולטיקאסט. האזנה לכתובת IP וירטואלית של כמה תחנות ביחד. כמו תחנת רדיו, כמו גלי רדיו.
06:39
אז כל הכתובות של 224 זה כתובות מולטיקאסט, אף מחשב לא מקבל אותן. ואני כאקר אמרתי אני רוצה להאזין ל-IP הווירטואלי הזה.
06:48
שמעתי צעקה, החזרתי תשובה. הנה פה התשובה. 132 מחזיר כבר ישירות לקליינט שצעק פרקטיקיו זה 132 בוא נראה מה קרה הלאה ב-HTTP תראו איזה יופי ישר אני נפלתי על הפאקט של unauthorized שהקליינט פנה אליי אמרתי לו תקשיב חמוד אתה לא מורשה לגשת לשרת אליי למה אתה לא מורשה כי אני דורש אימות ntlm ואז הקליינט שולח
07:14
לי פה את האימות הסטנדרטי של ntlm הפאקט הראשון ממנו מ-130 אליי זה זה ניגושיישן, זה פאקט של יכולות שלו, במה הוא תומך.
07:25
אנחנו ממש יכולים לראות כאן בתוך ה-HTTP את כל הפלאגים של הקליינט, במה הוא תומך ובמה הוא לא תומך, ווויירשארק יודע גם להסביר לנו פה מה המשמעות של כל פלאג, לדוגמה שהוא תומך באקסטנדד סיקיוריטי.
07:39
טוב, אחרי הפאקט הראשון של הקליינט במה הוא תומך, אני שולח לו צ'לנג', אני שולח לו אתגר ב-NTLM, אנחנו ממש יכולים לראות פה את הצ'לנג' עצמו. הנה הוא.
07:50
זוכרים 3a7b ונגמר ב-dc58 זה הצ'לנג שאני כשרד שלחתי לקליינט בוא תצפין לי אותו תוכיח לי שאתה היוזר שאתה טוען