一手楼房可以做哪个网站,做网站推淘宝客,网站软件大全免费下,公司员工培训内容有哪些本地用户认证
本地认证的意思就是#xff0c;我们的电脑上存储着自己的账号密码#xff0c;无论电脑是否联网#xff0c;只要能开机#xff0c;就可以输入账号密码登录到电脑中#xff0c;工作组就是采用本地认证
本地认证流程
winlogon.exe - 接收用户输入 - …本地用户认证
本地认证的意思就是我们的电脑上存储着自己的账号密码无论电脑是否联网只要能开机就可以输入账号密码登录到电脑中工作组就是采用本地认证
本地认证流程
winlogon.exe - 接收用户输入 - lsass.exe - (认证) 首先用户注销、重启、锁屏后操作系统会让winlogon.exe显示登录界面也就是输入框接收输入后将密码交给lsass进程这个进程中会存一份明文密码将明文密码加密成NTLM Hash对SAM数据库比较认证。 WindowsLogonProcess即winlogon.exe是WindowsNT用户登陆程序用于管理用户登陆和退出.用户注销、重启、锁屏后操作系统会让winlogon.exe显示登陆界面 LSASS用于微软Windows系统的安全机制。它用于本地安全和登陆策略 SAM文件是位于C\windows\system32\config\目录下的用于储存本地所有用户的凭证信息但是这并不代表着你可以随意去查看系统密码 SAM文件是Windows的用户账户数据库,所有用户的登录名及口令等相关信息都会保存在这个文件中,简单如下
用户名称:LM-HASH值:NTLM-HASH值 Lsass.exe进程的作用非常重要它主要负责管理本地安全策略和认证机制。这些策略包括密码策略、账户策略、用户权限、域策略等等。同时它还负责对用户进行身份验证以确保只有授权的用户才能访问系统资源。 1、将winlogon传过来的明文账号密码进行加密然后和SAM文件中的密文账号密码作对比。如果对比成功就登陆成功
2、将收到的明文账号密码在本地内存中保留一份用作备用 LM Hash/NTLM Hash
系统支持
Windows XP、Windows 2000、Windows 2003 系统默认使用 LM HASH 加密。
之后的 Windows 2008、Windows 7、Windows Vista、Windows 8、Windows 10 、Windows 2016 禁用了 LM默认使用 NTLM HASH。 LM Hash的全名为LAN Manager Hash,是微软为了提高 Windows操作系统的安全性而采用的散列加密算法,其本质是DES加密。尽管 LM Hash较容易被破解,但为了保证系统的兼容性, Windows只是将LM Hash禁用了(从 Windows vista和 Windows Server2008版本开始, Windows操作系统默认禁用 LM Hash)。 LM Hash明文密码被限定在14位以内,也就是说,如果要停止使用 LM Hash,将用户的密码设置为14位以上即可。如果 LM Hash被禁用了,攻击者通过工具抓取的 LM Hash通常为“aad3b435b51404eead3b435b51404ee”(表示 LM Hash为空值或被禁用) NTLM Hash是微软为了在提高安全性的同时保证兼容性而设计的散列加密算法。NTLM Hash 是基于MD4加密算法进行加密的。个人版从 Windows vista以后,服务器版从 Windows Server2003以后, Windows操作系统的认证方式均为 NTLM Hash LM Hash LM Hash生成流程
1、将明文口令转换为其大写形式 假设这里以明文Admin123为例转换为大写格式为Admin123---- ADMIN123
2、将字符串大写后转换为16进制字符串
ADMIN123--- 41 44 4D 49 4E 40 31 32 33
3、密码不足14字节要求用0补全
41 44 4D 49 4E 40 31 32 33--- 41 44 4D 49 4E 40 31 32 33 00 00 00 00 00
4、将上述编码分成2组7字节
第一组41 44 4D 49 4E 40 31
第二组32 33 00 00 00 00 00
将每一组7字节的十六进制转换为二进制每7bit一组末尾加0再转换成十六进制组成得到2组8字节的编码将以上步骤得到的两组8字节编码分别作为DES加密key为魔术字符串KGS!#$% 进行加密 KGS!#$%的16进制为 4B47532140232425
最终结果拼接即可6F08D7B306B1DAD4B75E0C8D76954A50 LM Hash生成规则
1.用户的密码被限制为最多14个字符。
2.用户的密码转换为大写。
3.系统中用户的密码编码使用了OEM内码页
4.密码不足14字节将会用0来补全。
5.固定长度的密码被分成两个7byte部分。每部分转换成比特流在分7bit为一组末尾加0然后再次进行16进制编码
6.上步骤得到的8byte二组分别作为DES key为“KGS!#$%”进行加密KGS!#$%的16进制为 4B47532140232425。
7.将二组DES加密后的编码拼接得到最终LM HASH值。 LM HASH的特点和问题
1、口令不区分大小写2、口令长度最大为14字节另外如果口令长度不超过7字节则LM Hash的后8字节是固定值3、DES算法强度不够
技巧根据LM Hash特征也能够判断用户的密码是否是大于等于7位。 NTLM Hash
NTLM Hash生成过程
1.转换为十六进制比如Admin123转换为16进制41646d696e40313233
2.Unicode转换后410064006d0069006e004000310032003300
3.再调用MD4加密算法加密570a9a65db8fba761c1008a51d4c95ab 手动计算密码后可以使用密码抓取工具进行验证
mimikatz.exe:
Privilege::debug
Sekurlsa::logonpasswords Hash存储
在本地登录Windows的情况下操作系统会使用用户输入的密码作为凭证去与系统中的密码进行验证操作系统中的密码存储在%SystemRoot%\system32\config\sam 当我们登录系统的时候,系统会自动地读取SAM文件中的“密码”与我们输入的“密码”进行比对如果相同证明认证成功。 这个SAM文件中保留了计算机本地所有用户的凭证信息可以理解为是一个数据库。
Windows本身不保存明文密码只保留密码的Hash。 在域环境中域用户的密码hash全部保存在C:\Windows\NTD\的ntds.dit中。
总结
当密码超过14位时候会采用NTLM加密
test:1003:E52CAC67419A9A22664345140A852F61:67A54E1C9058FCA16498061B96863248::: 前一部分是LM Hash后一部分是NTLM Hash 当LM Hash是 AAD3B435B51404EEAAD3B435B51404EE 这表示空密码或者是未使用LM_HASH Hash一般存储在两个地方: 1、SAM文件存储在本机 对应本地用户 2、NTDS.DIT文件存储在域控上对应域用户 根据LM Hash特征LM Hash的后8字节是固定值也能够判断用户的密码是否是大于等于7位是的话则小于不是的话则大于 网络身份认证协议
本地认证的方式满足不了日常所需
网络认证Windows网络认证是指在Windows操作系统中进行网络通信和资源访问时验证用户身份和授权权限的过程。它确保只有经过身份验证的用户能够访问网络资源并根据其权限级别进行授权操作。 网络认证有哪些
1.用户名和密码认证这是最常见的认证方式用户需要提供有效的用户名和密码以验证其身份。这种认证方式适用于本地计算机账户或域账户。
2.Kerberos认证Kerberos是一种网络身份验证协议在Windows域环境中广泛使用。它通过使用票据和票据授予票据TGT来验证用户身份并生成会话密钥用于加密通信。
3.NTLM认证NTLMNT LAN Manager是一种早期的Windows网络认证协议它使用基于挑战-响应的方式进行身份验证。尽管Kerberos已成为首选的认证协议但NTLM仍然在某些情况下使用特别是在与旧版Windows系统或非Windows系统进行交互操作时。
4.密钥身份认证Windows还支持使用密钥来进行身份验证。这种方式涉及使用预先共享的密钥对用户进行身份验证通常用于特定的场景和应用。
5.远程桌面认证Remote Desktop Authentication远程桌面是一种远程访问Windows计算机的功能。在远程桌面连接时用户需要提供目标计算机的凭据进行认证以验证身份并获得远程访问权限。 NTLM认证协议
NTLM Hash与NTLM协议的关系
在Windows中密码Hash目前称之为NTLM Hash其中NTLM全称是NT LAN Manager。
这个NTLM是一种网络认证协议与NTLM Hash的关系就是NTLM网络认证协议是以NTLM Hash作为根本凭证进行认证的协议。
也就是说NTLM与NTLM Hash相互对应。 早期SMB协议在网络上传输明文口令。后来出现 LAN Manager Challenge/Response 验证机制它是如此简单以至很容易就被破解后来微软提出了WindowsNT挑战/响应验证机制称之为NTLM。 发展历程 SMB - LM - NTLM - NTLM v2 NTLM认证协议被使用
在平时的测试中经常会碰到处于工作组的计算机主机A想要访问主机B上的资源就要向主机B发送一个存在于主机B上的一个账户主机B接收以后会在本地进行验证如果验证成功才会允许主机A进行相应的访问。
NTLMNT LAN Manager认证是一种早期的Windows网络身份验证协议。它在Windows系统中用于验证用户的身份并提供对网络资源的访问控制 NTLM认证协议使用在Windows NT和Windows 2000 Serveror later工作组环境中Kerberos用在域模式下。在AD域环境中如果需要认证Windows NT系统也必须采用NTLM。较之Kerberos基于NTLM的认证过程要简单很多。NTLM采用一种质询/应答Challenge/Response消息交换模式。NTLM适用范围非常广既可用于域内的认证服务也可用于没有AD的环境让两台独立电脑相互认证。 NTLM是一种网络认证协议它是基于挑战challenge/响应Response认证机制的一种认证模式。 NTLM协议在Workgroup环境下的认证过程 应用场景 NTLM协议的认证过程分为三步
协商主要用于确认双方协议版本(NTLM v1/NTLM V2)。2、质询这一步便是Challenge/Response认证机制的关键之处。3、验证对质询的最后结果进行一个验证验证通过后即允许访问资源 认证肯定分为认证失败和认证成功两种
认证成功 1、首先client会向server发起请求连接协商一些相关东西比如客户端向服务器端发送用户信息用户名请求 Server将会本地生成一个(16位或8位)随机字符即Challenge并保存在本地中同时将Challenge发送给客户端 3、当client接收到Challenge时将使用用户的LM Hash或NTLM-hash对Challenge进行加密、和用户名、域名、机器名等相关信息生成Response并Response发送给server。 4、Server在收到Response后将其和相同的方式进行加密生成另一个Response如果相同则验证成功如果不同就失败 其中经过NTLM Hash加密Challenge的结果Response在网络协议中称为Net NTLM Hash。 如果上述数据包被恶意第三方截获得到Challenge和加密后的Hash值那么LM_Hash和NT_Hash也容易泄露所以微软改进后加入了TimeStamp时间戳来防止这种攻击也就是NTLM v2 自Windows Vista/Server2008开始系统默认禁用Net-NTLMv1使用Net-NTLMv2 Kerberos认证协议 存在的最大问题是什么呢 最大的问题双方不能证明自己是自己就好比对暗号其实是不安全的 Kerberos 是一种网络认证协议其设计目标是通过密钥系统为客户机 / 服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证无需基于主机地址的信任不要求网络上所有主机的物理安全并假定网络上传送的数据包可以被任意地读取、修改和插入数据。在以上情况下 Kerberos 作为一种可信任的第三方认证服务是通过传统的密码技术如共享密钥执行认证服务的。 Kerberos的三大要素
在古希腊神话故事中kerberos是一只具有三颗头颅的地狱恶犬他守护在地狱之外能够识别所有经此路过的亡灵防止活着的入侵者闯入地狱 kerberos协议中也存在三个角色分别是
1、客户端client发送请求的一方
2、服务端Server接收请求的一方
3、密钥分发中心Key Distribution CenterKDC而密钥分发中心一般又分为两部分分别是
ASAuthentication Server认证服务器专门用来认证客户端的身份并发放客户用于访问
TGS的TGT票据授予票据
TGSTicket Granting Service票据授予服务器用来发放整个认证过程以及客户端访问服务端时所需的服务授予票据Ticket Kerberos认证协议的基础概念
1、票据Ticket是网络对象互相访问的凭证。
2、TGTTicket Granting Ticket入场券通过入场券能够获得票据是一种临时凭证的存在。
3、KDCKey Distribution Center负责管理票据、认证票据、分发票据但是KDC不是一个独立的服务它由以下服务组成
①Authentication Service(简称AS): 为client生成TGT的服务
②Ticket Granting Service(简称TGS): 为client生成某个服务的ticket(ST ServiceTicket) Kerberos认证流程 如何去解决这个问题呢 此时还存在什么问题吗
最大问题卖票窗口凭什么给你卖票你是合法的公民吗 那到底是如何认证呢 计算机是如何认证呢 客户端和AS通信原理
第一步客户端拿着身份证去AS认证认证通过后返回一张去卖票窗口买票的票TGT a
身份信息 TGT 提供身份信息的数据包是AS-REQ(AS-requests)。发送TGT的数据包是AS-REP(AS-response)
当用户收到TGT时候对TGT进行解密 客户端和TGS通信原理
第二步客户端拿着TGT去卖票窗口(TGS)买一张去动物园的票 TGT ST TGS接收到TGT后对其进行解密然后再将TGS封装成ST发送给客户端
客户端和服务端通信原理
第三步客户端拿着ST去动物园 服务端收到客户端发送的ST之后对其进行解密 1、使用本机的机器用户HASH值解密ST得到 CS_SK
2、拿着CS_SK解密第一部分得到相关信息
3、进行对比后成功访问建立信任 TGT和ST是Kerberos认证的两个重要票据如果TGT和ST被伪造了那么将会造成安全问题
伪造的TGT被称作黄金票据伪造的ST被称为白银票据
kerberos协议安全问题
横向移动AS-REQPTHPass The Hash、域内用户枚举密码喷洒 域内用户枚举密码喷洒 即域内用于枚举可以在无域内有效凭据的情况下枚举出域内存在的用户名,
并对其进行密码喷洒以此获得域内有效凭据。 面试小帮手 什么是黄金票据与白银票据 黄金票据就是伪造了Kerberos协议中的身份票据TGT
黄金票据可以访问该用户身份的所有服务
白银票据就是伪造了Kerberos协议通信流程中服务票据SGT
白银票据只能访问某一个服务
使用域管理员身份创建的票据就是黄金票据可以访问域内的所有服务 kerberos认证流程 客户端先去找AS服务进行认证获取身份票据TGT。
然后拿着TGT票据寻找TGS服务获取服务票据。
拿着服务票据访问具体的服务
