NTLM 认证 3 步拆解：从一条哈希到拿下整个域，AD 安全实战指南

NTLM 认证 3 步拆解：从一条哈希到拿下整个域，AD 安全实战指南

【免费下载链接】adsecAn introduction to Active Directory security项目地址: https://gitcode.com/gh_mirrors/ad/adsec

安全分析里有个反直觉的案例：密码从未外泄，攻击者却以 Administrator 身份登录了服务器。元凶通常是 NTLM 认证——Windows 世界里最老的挑战-应答协议，它默认"哈希即凭证"。adsec 是一套从零讲 Active Directory（AD）安全的开源课程：slides/ 里是理论课件，lab-setup/ 是实验环境搭建指南，exercises/ 提供 8 个动手攻防练习，NTLM 章节正是整门课的地基。这篇文章带你把 NTLM 认证的机制、两条经典攻击路径和一整套防御动作走一遍。

"拿不到明文密码就登不进去？"——这个命题不成立

先给结论：NTLM 场景下，哈希就是钥匙。

Windows 里每个账户的密码，实际只以"指纹"形式保存，即 NTLM 哈希（NTHash）——对密码做一次 MD4 散列得到的 16 字节值。它存在于两个地方：

NTLM 认证全程只用这个指纹，不碰明文。也就是说：拿到哈希，不破解也能冒充该用户完成认证。这正是 Pass-the-Hash（PtH，"拿哈希当密码用"）能实现域内横向移动的根本原因。

顺带一个企业常见坑：所有机器用同一个本地管理员密码。后果是每台机器的 NTHash 完全一致，攻破一台等于攻破全部。

挑战-应答三步走：服务器为什么从不索要密码

NTLM 的设计目标是密码永不上网，整个过程是三轮对话：

1. 协商：客户端声明自己支持的版本（v1/v2）与签名、加密能力；
2. 挑战：服务器每次生成一个随机数（Challenge）下发，专门防止攻击者重放旧认证包；
3. 认证：客户端用 NTHash 作为密钥对这个随机数做运算，把结果连同用户名发回；服务器用自己存的哈希做同样运算，结果一致即放行。

一个比喻：银行从不传输你的密码，只让你用它对银行给的随机数"加密作答"。你答得和银行那边算出的一模一样，就证明你握有密码——协议本身没暴露它，但暴露了哈希。

NTLMv1 还是 v2：为什么任何场景都应禁掉 v1

两个版本的本质差别在"作答算法"：

判断很明确：NTLMv1 在任何场景都应禁用。它的响应只依赖 8 字节挑战、不含任何上下文，抓包后可逐条离线验证或直接查彩虹表还原口令。用组策略把"网络安全：LAN 管理器身份验证级别"设为"仅发送 NTLMv2 响应"是底线动作。

两条高频攻击路径：PtH 与 Relay

看懂机制就能看懂攻击。adsec 的练习 2 和练习 3 正是这两个主题，完整步骤见 exercises/2-NTLM.md 与 exercises/3-NTLM-Relay.md。

Pass-the-Hash：把哈希当钥匙直接用 🔑

攻击者拿下跳板机后（实验设定：域用户 john 的客户端 ADSEC-00 已被攻陷），用 Mimikatz 从 SAM 库提取本地管理员哈希：

privilege::debug lsadump::sam

再用哈希直接起一个以该身份运行的 Shell：

sekurlsa::pth /user:Administrator /ntlm:<hash> /domain:doesnotmatter

最后 PsExec 一条命令连到 ADSEC-01，横向移动完成——全程没碰过密码。

NTLM Relay：让受害者"主动上门认证" 🔁

PtH 是"我自己用你的钥匙"，Relay 是"借你的钥匙去敲更贵的那扇门"。关键前提：NTLM 认证不绑定目标服务身份，攻击者架好中继站，就能把受害者发起的认证转发到域控 LDAP。

难点在于让受害者主动来认证（强制认证）。实验里用 SpoolSample 利用 MS-RPRN 打印协议的缺陷触发（与 PetitPotam 同类），配合 ntlmrelayx 中继到域控：

ntlmrelayx.py --no-smb-server --delegate-access --escalate-user evilpc$ -t ldap://adsec-dc.contoso.com

.\SpoolSample.exe adsec-01 adsec-00@80/foobar

成功后控制台会显示Delegation rights modified——攻击者已往受害计算机对象写入了委派权限，为后续 Kerberos RBCD 攻击（练习 6）铺好路。

实验环境从零搭建：一键建站步骤

以上攻击都可在 adsec 的官方实验环境复现，步骤以 lab-setup/README.md 为准：

1. 建 3 台 Windows Server 2019 虚拟机：域控 ADSEC-DC + 成员机 ADSEC-00/01，各 2 核 4G、同子网；有 Azure 账号可用 Terraform 一键部署；
2. 在 ADSEC-DC 上执行 create-domain.ps1 建立 contoso.com 域，重启；
3. 两台成员机加域，再在域控运行 domainprepare.ps1 批量创建用户、组、OU（含 john、blee 两个测试用户）；
4. 在"已被攻陷"的 ADSEC-00 上把攻击工具包解压到 C:\attacker-tools（zip 密码 infected），运行 install-choco-and-dependencies.ps1 装好 Python、Neo4j 等依赖。

注意环境里刻意埋的坑：两台成员机本地管理员密码相同——这是 PtH 能打通的前置条件，也正是它模拟真实企业隐患的地方。

8 个练习路线表：从 0 到 1 复现顺序

理论课件 slides/AD-Security-101.pdf 中按节奏穿插了对应练习的引用，适合"讲一段、练一段"。建议优先做完 2、3：把 NTLM 吃透，因为练习 3 写入的委派属性会直通练习 6 的 RBCD，形成完整闭环。

换防御视角：一份可执行的加固清单

攻击能复现，防御同样可落地。按"投入产出比"排序：

下一步建议：先在实验室复现练习 2，亲眼确认哈希能当密码用；再打通练习 3 的 Relay 全链路。亲手做过一次，你自然理解上表中为什么域控 LDAP 监控和 LAPS 是必做项。

💡小贴士：Relay 成功后，受害计算机对象的msds-allowedtoactonbehalfofotheridentity属性是一串看似数字的 SDDL 二进制串，练习 6 会用到它——现在就可以试着用 PowerShell 把它转成可读 ACL，正好当热身题。

【免费下载链接】adsecAn introduction to Active Directory security项目地址: https://gitcode.com/gh_mirrors/ad/adsec