NTLM hash van inlog wachtwoord veilig stellen

[Dean88]

Voor een schoolopdracht doe ik een onderzoekje of het in Windows 10 nog mogelijk is om de NTLM hash van een account veilig te stellen op een systeem waarin je niet bent ingelogd.
Ik weet dat dit mogelijk is met Windows XP & 7, maar volgens mij is dit met de Windows 10 (latere updates) niet meer mogelijk.

Als ik zelf inlog in mijn VM en de tool Mimikatz draai, krijg ik wel de NTML hash maar deze trekt hij dan uit het geheugen en ben ik dus ingelogged. Ik ben benieuwd of er nog mogelijkheden zijn op een (onversleuteld) Win10 machine die uit staat en zonder hybernation file beschikbaar.

[medal]

Informatie over credentials(niet persee ntlm) is over het algemeen op de volgende locaties te vinden:
SAM database en registry.

[ Voor 68% gewijzigd door medal op 02-02-2019 14:17 ]

[Brainscrewer]

Je zou dit artikel eens kunnen lezen, wellicht dat je daar iets aan hebt. Een andere manier waarop je NTLM-hashes kunt verkrijgen is door NTDS.dit en een kopie van het register te downloaden, maar dit moet wel op een Domain Controller uitgevoerd moeten worden met een account met administratieve privileges. Zie hiervoor dit artikel.

[Dean88]

Als ik het goed begrijp is met de komst van Windows 10 en wat latere updates het dusdanig goed versleuteld dat de NTLM hash niet inzichtelijk kan worden gemaakt op een stand alone machine. Dus in mijn voorbeeld bedoel ik een pc die niet verbonden is met een domain controller of iets dergelijks.

Ik hoor graag of dit klopt zodat mijn onderzoekje rond is, overige mogelijkheden zijn uiteraard ook welkom

[medal]

Dean88 schreef op woensdag 6 februari 2019 @ 12:25:
Als ik het goed begrijp is met de komst van Windows 10 en wat latere updates het dusdanig goed versleuteld dat de NTLM hash niet inzichtelijk kan worden gemaakt op een stand alone machine. Dus in mijn voorbeeld bedoel ik een pc die niet verbonden is met een domain controller of iets dergelijks.

Ik hoor graag of dit klopt zodat mijn onderzoekje rond is, overige mogelijkheden zijn uiteraard ook welkom

Heb het net even getest, maar de NTLM hashes zijn ook op een volledig up to date Windows 10 machine gewoon uit te lezen doormiddel van de bekende manieren.

[Dean88]

medal schreef op woensdag 6 februari 2019 @ 13:33:
[...]


Heb het net even getest, maar de NTLM hashes zijn ook op een volledig up to date Windows 10 machine gewoon uit te lezen doormiddel van de bekende manieren.

Werkelijk? Heb je ook getest of de gevonden NTLM hash ook daadwerkelijk je wachtwoord is?
In onderstaande post en link wordt ook het volgende beschreven:

You (wrongly) get 31d6cfe0d16ae931b73c59d7e0c089c0 hash of your password because format of the SAM and/or SYSTEM files has changed since Windows 10 Anniversary update (see: similar problem), thus tools like chntpw, bkhive, pwdump, samdump2 print hash of the empty password (I verified it on my Windows 10). Since this update, Windows uses AES128 to encrypt password's MD4 hash. Because of that, nearly all tutorials regarding Windows password recovery became outdated.

https://security.stackexc...p-using-a-microsoft-accou

[medal]

Dean88 schreef op woensdag 6 februari 2019 @ 14:02:
[...]


Werkelijk? Heb je ook getest of de gevonden NTLM hash ook daadwerkelijk je wachtwoord is?
In onderstaande post en link wordt ook het volgende beschreven:

You (wrongly) get 31d6cfe0d16ae931b73c59d7e0c089c0 hash of your password because format of the SAM and/or SYSTEM files has changed since Windows 10 Anniversary update (see: similar problem), thus tools like chntpw, bkhive, pwdump, samdump2 print hash of the empty password (I verified it on my Windows 10). Since this update, Windows uses AES128 to encrypt password's MD4 hash. Because of that, nearly all tutorials regarding Windows password recovery became outdated.

https://security.stackexc...p-using-a-microsoft-accou

Alle was misschien iets voorbarig, had even snel mimikatz er overheen getrokken en die hash klopt. Zoals ook aangegeven in jou link.

Lees ook dit eens door
http://www.insecurity.be/...hanged-technical-writeup/

[ Voor 5% gewijzigd door medal op 06-02-2019 14:34 ]

[Dean88]

medal schreef op woensdag 6 februari 2019 @ 14:11:
[...]


Alle was misschien iets voorbarig, had even snel mimikatz er overheen getrokken en die hash klopt. Zoals ook aangegeven in jou link.

Lees ook dit eens door
http://www.insecurity.be/...hanged-technical-writeup/

Iets te voorbarig?
In mijn eerste post geef ik ook al aan dat mimikatz wel werkt omdat hij dan live draait en hij de hash uit je geheugen/services trekt.
Maar in ieder geval bedankt voor het meedenken en reactie!

[ Voor 6% gewijzigd door Dean88 op 06-02-2019 20:35 ]

[medal]

Dean88 schreef op woensdag 6 februari 2019 @ 20:32:
[...]


Iets te voorbarig?
In mijn eerste post geef ik ook al aan dat mimikatz wel werkt omdat hij dan live draait en hij de hash uit je geheugen/services trekt.
Maar in ieder geval bedankt voor het meedenken en reactie!

…Mimikatz heeft meer opties dan alleen uit het geheugen lsa dump bijvoorbeeld. zoals ook vermeld staat in de door jou zelf geposte link. daarnaast legt het door mij gegeven artikel precies uit naar wat jij op zoek bent.

[Dean88]

medal schreef op woensdag 6 februari 2019 @ 21:14:
[...]


…Mimikatz heeft meer opties dan alleen uit het geheugen lsa dump bijvoorbeeld. zoals ook vermeld staat in de door jou zelf geposte link. daarnaast legt het door mij gegeven artikel precies uit naar wat jij op zoek bent.

Klopt feit blijft dat zowel Mimikatz als jouw gegeven artikel (overigens erg interessant) alleen gebruikt kan worden bij een live systeem. In mijn onderzoek is de vraag of je op een offline image de NTLM hash kunt bekijken, zonder inloggegevens..
Dit lijkt helaas niet meer te kunnen.

[Gtoniser]

Ja hoor dit kan gewoon. AES encryptie kan ook gewoon teruggedraaid worden, alleen de oudere tools ondersteunen het niet. Je kunt dit gewoon met mimikatz doen (offline op een dump van het register) of met secretsdump.py van impacket op een offline register dump.