Báo cáo hash injection
Báo cáo Hash Injection Thành viên : Phạm Minh Lộc Đào Văn Tú Đỗ Hồng Phúc Nguyễn Ngọc Cương Tóm t tắ Windows Hash Microsoft Authentication Cached Credentials Hash Dumpers Demo Windows Hash Khi ta tạo một password cho một tài khoản,password sẽ không được lưu trữ trong hệ thống dưới dạng clear text. Việc lưu password dưới dạng clear text không phải là một ý tưởng hay bởi vì nếu một người nào đó truy xuất được tới file password thì sẽ biết được mọi tài khoản lưu trong hệ thống. Nhưng có một điều là nếu không có password trên hệ thống thì không thể chứng thực một user login Xung quanh vấn đề này,những người phát triển hệ thống đã hash password với một one way hash và lưu nó trên hệ thống.khi một người log in,password nhập vào sẽ được hash và đem kết quả so sánh với giá trị hash đã được lưu trữ,nếu đúng thì sẽ cho phép log in. Một one way hash là một hàm chuyển đổi một input text string thành một output text string duy nhất,tuy nhiên bởi vì là hàm một chiều nên khi nhận vào output string sẽ không có hàm nào chuyển ngược lại input string ban đầu.chỉ có một cách duy nhất là thử tất cả các input string có thể cho đến khi được output string đúng với output string cần tìm. Với lý do đấy nên nếu một hacker chiếm lấy được hash database họ cũng không thể ngay lập tức sử dụng nó để break hệ thống bởi vì password trước tiên cần phải được crack.nếu một password đủ dài và phức tạp nó có thể khiến cho hacker mất rất nhiều thời gian để crack ( hàng triệu năm đối với một password tốt). Microsoft Authentication Hệ thống Windows hiện đang sử dụng một hoặc nhiều bốn phương pháp xác thực khác nhau. LanManager (LM) NT Lan Manager (NTLM) NT Lan Manager 2 (NTLMv2) Kerberos LanManager (LM) LAN Manager là một trong những định dạng mà Microsoft LAN Manager và Microsoft Windows phiên bản trước để sử dụng Windows Vista để lưu trữ các mật khẩu người dùng có ít hơn 15 ký tự.Đây là loại băm là loại duy nhất của mã hóa được sử dụng trong Microsoft LAN Manager,vì thế mà có tên LM, và phiên bản của Windows đến Windows Me. Nó cũng được hỗ trợ trong nhiều phiên bản Windows gần đây cho tương thích,mặc dù trong Windows Vista và sau đó nó một cách rõ ràng phải được kích hoạt để sử dụng như nó bị tắt theo mặc định. LanManager (LM) LM là cơ chế băm mật khẩu lâu đời nhất và kém an toàn nhất của Windows. Mật khẩu được chia thành hai khối 7 ký tự. Mỗi chuỗi băm một cách độc lập và nối 2 chuỗi băm lại. Kết quả là một kẻ xâm nhập chỉ cần crack hai chuỗi băm 7 ký tự này và chỉ cần xem xét các ký tự hoa, số, và các ký hiệu để phá vỡ mật khẩu. Điều này là rất dễ dàng để làm bằng cách sử dụng công nghệ ngày nay. Cơ chế được sử dụng cho Window 3.1/95/98 Một khó khăn với LM như: về mặt xác thực là băm được gửi qua mạng với cơ chế mã hóa thấp khi làm một tên đăng nhập vào hệ thống mạng. Cơ chế này làm cho nó có thể nắm bắt được chuỗi băm bằng cách sniffing mạng. NT Lan Manager (NTLM) Chuỗi băm được tạo ra bằng cách băm mật khẩu người dùng với MD4. Đây là một băm mạnh hơn nhiều so với LM, cho phép sử dụng của tập ký tự Unicode, và nó không được chia thành ngắn hơn. Để tăng thêm an ninh, đăng nhập với NTLMv1 là ta có thể thiết lập cho chuỗi không bao giờ được gửi qua mạng. [...]... password đó sẽ được hash và đem so sánh với giá trị hash của password đã được lưu trước đó trong cache,nếu đúng thì user đó sẽ được phép log on,còn ngược lại thì không Hash Dumpers Là các tools dùng để extract LM hash và NTLM hash từ SAM Database (là một phần của registry dùng để quản lý các thông tin bảo mật) Ngoài ra chúng còn có thể lấy ra các hash được lưu trữ trong hệ thống từ những lần đăng... -l [ dump_lsa ] dump lsa secrets -w [ dump_wireless ] dump mircosoft wireless connections -u [ dump_usedhashes ] dump hashes from active logon sessions -s [ dump_hashes ] dump hashes from SAM/AD Msvctl.exe Về cơ bản là một chương trình dùng để log in vào một hệ thống bằng cách sử dụng hash thay cho password Vd : C:\>msvctl ibuetler::25b425XXXXXXXXXXXXXXXXec5 cabcc:fa1d701b2YYYYYYYYYYYYYYYY71... còn có thể lấy ra các hash được lưu trữ trong hệ thống từ những lần đăng nhập trước đó Để nâng cao tính bảo mật thì file SAM sẽ được mã hóa nhưng hầu hết các hash dumpers biết làm thế nào để giải mã nó Một điều cần lưu ý là để chạy các hash dumper thì cần đến các user đặc quyền như administrator Demo 1_Mô hình Domain Mô hình gồm 3 máy Máy 1 nâng cấp lên Domain Controller Máy 2 sử dụng HDH Windows... được hash và cache lại trên máy tính đó Cached Credentials được lưu trữ trong Registry tại HKEY_LOCAL_MACHINE\SECURITY\CACH E với các giá trị tương ứng là NL$1,NL$2 … chứa thông tin các user đã logon trước đó Cached Credentials sẽ được sử dụng khi một domain controller không hoạt động và dùng để xác nhận một password,khi một user cung cấp một password để logon vào domain thì password đó sẽ được hash. .. [arguments] -s :chạy một remote process trên system accout -u: username sẽ login vào remote system -p: password của username -c: copy 1 chương trình đến remote system để thưc thi Gsecdump.exe Lấy ra hash trong file SAM và cache của domain credentials, ngoài ra nó còn có thể lấy ra LSA, Wireless, và Active logon sessions Gsecdump không có khả năng remote system,để chạy nó trên một remote system thì... thực(authentication protocol) của microsoft,sử dụng để xác nhận người dùng trên mạng hoặc tại máy tính đơn.đối với hệ thống domain thi khi xác thực,NTLM sử dụng các thông tin tên user,tên domain và 1 kết quả đã hash( băm) password để kiểm tra xem người dùng có hợp lệ không Để tìm hiểu sâu hơn về NTLM các bạn tham khảo: http://en.wikipedia.org/wiki/NTLM http://msdn.microsoft.com/en-us/library/aa378749.aspx NT Lan... toàn bộ cached credentials được lưu trên máy workstation Máy Client có tài khoản admin cục bộ là administrator và password là 123 Dùng msvctl để đăng nhập với quyền của userdomain3 thông qua giá trị hash của nó . Báo cáo Hash Injection Thành viên : Phạm Minh Lộc Đào Văn Tú Đỗ Hồng Phúc Nguyễn Ngọc Cương Tóm t tắ Windows Hash Microsoft Authentication Cached Credentials Hash Dumpers. phát triển hệ thống đã hash password với một one way hash và lưu nó trên hệ thống.khi một người log in,password nhập vào sẽ được hash và đem kết quả so sánh với giá trị hash đã được lưu trữ,nếu. tắ Windows Hash Microsoft Authentication Cached Credentials Hash Dumpers Demo Windows Hash Khi ta tạo một password cho một tài khoản,password sẽ không được lưu trữ trong hệ thống