⚠️ 開場引言 在 Windows 內網滲透中， Pass-the-Hash（PtH）攻擊 是橫向移動的核心手法。攻擊者無需破解密碼，直接以竊取的 NTLM 雜湊值偽造身份，在整個域環境中自由穿梭。 NTLM 認證機制與攻擊原理 NTLM 認證採用 Challenge-Response 模型，伺服器傳送隨機挑戰值，用戶端以密碼的 NTLM Hash 加密後回傳。關鍵漏洞在於： 系統驗證的是 Hash 本身，而非明文密碼 。只要取得 Hash，即可直接通過驗證，不需要任何破解步驟。攻擊者通常透過 Mimikatz 從 LSASS 進程記憶體中傾印（dump）出 NTLM Hash，再以工具（如 Impacket、CrackMapExec）對內網其他主機發起認證請求，完成橫向移動。同一組域帳號 Hash 往往可存取大量機器，攻擊面極廣。 橫向移動與權限提升路徑 取得普通用戶 Hash 後，攻擊者優先鎖定 本機管理員帳號（RID 500） 或具有跨機器重用密碼的服務帳號。透過 SMB 協議執行遠端指令，可在目標機器上部署後門或竊取更高權限的 Hash。若成功取得 Domain Admin 帳號的 Hash，則可利用 DCSync 技術向域控制器請求所有帳號憑證，達成完整域接管。整條攻擊鏈的核心是 憑證重用（Credential Reuse） ——企業內部密碼重用率越高，單一 Hash 的橫向穿透力越強。 # 使用 Impacket 以 NTLM Hash 執行遠端指令（PtH 示範） python3 psexec.py -hashes :aad3b435b51404eeaad3b435b51404ee \ administrator@192.168.1.100 # 使用 CrackMapExec 批量驗證內網機器 crackmapexec smb 192.168.1.0/24 \ -u administrator -H aad3b435b51404eeaad3b435b51404ee 💡 重點整理 Hash 即憑證 ：NTLM 環境中，Hash 與明文密碼具有等同的認證效力。 主要來源 ：LSASS 記憶體、SAM 資料庫、NTDS.dit 是三大 Hash 竊取目標。 ...