PTH攻击挖洞经验：从踩坑到拿下域控的那些事儿
说真的,提到PTH攻击挖洞经验，我这心里还是挺有感触的，刚开始学渗透那会儿，PTH（Pass-the-Hash）这词儿听着就玄乎，什么"传递哈希"，哈希又不是篮球，传什么传？后来真正上手了才知道，这玩意儿在内网渗透里简直就是一把万能钥匙，用好了能让你少走好多弯路，今天就掰扯掰扯我这些年攒下来的PTH攻击挖洞经验，都是实打实踩出来的坑，希望能给还在摸索的兄弟们一点参考。
PTH到底是个啥？咱先唠明白
其实PTH攻击的原理说穿了不复杂,Windows在做NTLM认证的时候，用的是密码的哈希值，而不是明文密码本身，这就给了我们可乘之机——只要拿到了目标的NTLM哈希，哪怕密码再复杂，也能直接拿哈希去认证，压根不需要破解出明文，我第一次成功用PTH登录的时候，那叫一个激动啊，心想这也太爽了吧？不过别急，PTH攻击挖洞经验告诉我，真正难的不是原理，而是怎么拿到那个哈希，以及拿到之后怎么用对地方。
搞哈希的几条路，条条都得试
聊PTH攻击挖洞经验,绕不开的就是"哈希从哪来"这个问题，我常用的路子大概有这么几条：
第一条，抓内存里的哈希。 Mimikatz这老伙计大家都不陌生吧？mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" 一条龙下去，运气好的话明文和哈希一起出来，不过现在防守方也不傻，Credential Guard一开，这招就哑火了一半，所以还得配合其他手段。
第二条，抓NTLMv2的响应包再中继或者破解。 Responder这工具我特别喜欢用，内网里那些老古董机器还在用LLMNR、NBT-NS，一抓一个准，抓到的NTLMv2 hash虽然不能直接PTH，但可以拿去hashcat跑，弱密码的话分分钟出来，我上次在一个项目里，光靠Responder就薅到了三个域用户的哈希，其中一个还是弱口令，直接笑出声。
第三条，从注册表、SAM文件里抠。 拿到本地管理员权限之后，reg save把SAM和SYSTEM导出来，再用secretsdump.py一跑，本地哈希全出来了，这招在打点阶段特别好使，尤其是那种只拿到一台边缘机器的时候。
说句掏心窝子的话,PTH攻击挖洞经验里最重要的一条就是：别死磕一条路，内网环境千奇百怪，这招不行就换那招，多管齐下才有戏。
拿到哈希之后，怎么用才叫会用
哈希到手了,接下来的操作才是考验功底的时候，我刚开始那会儿，拿到哈希就傻乎乎地往Mimikatz里塞，结果经常报错，后来才明白得看场景。
横向移动这块， 我一般首选 crackmapexec，命令行敲着顺手：crackmapexec smb 192.168.1.0/24 -u administrator -H <hash> --local-auth，一扫一大片，哪台机器能通一目了然，要是碰到WinRM开着的，evil-winrm配上哈希直接拿shell，evil-winrm -i target -u administrator -H <hash>，丝滑得很。
WMI和PsExec这些老牌工具也不能丢，impacket套件里的wmiexec.py、psexec.py，加个-hashes参数就能用哈希认证，不过PsExec动静太大，容易触发告警，我现在更喜欢用wmiexec，相对隐蔽一些。
这里给兄弟们提个醒,也是我PTH攻击挖洞经验里血淋淋的教训：用完记得清理痕迹！ 有一次我PTH上去之后得意忘形，日志没清，结果蓝队那边直接把我的IP拉黑了，项目差点黄了，尴尬得要死。
防守方也不是吃素的，这些坑得避开
说实话,现在纯粹的PTH越来越不好使了，微软这些年推的LSA保护、Credential Guard、Windows Defender ATP，都在针对这类攻击，我PTH攻击挖洞经验里最深刻的一条就是：别老用同一个套路，同样的手法用多了，指不定哪天就撞枪口上。
PTH对目标账户的权限很敏感,普通域用户拿到了哈希也掀不起大浪，得盯着那些有本地管理员权限的账户，所以前期信息收集特别关键，谁是谁、哪台机器归谁管，心里得有张图。
最后唠两句
写了这么多,其实PTH攻击挖洞经验归根结底就一句话：技术是死的，思路是活的，工具谁都会用，难的是根据现场情况灵活组合、随机应变，我写这篇PTH攻击挖洞经验也是想着把自己的实战心得分享出来，让后来人少踩点坑。
当然啦,这些技术只能在授权渗透测试里用，千万别拿去干坏事，法网恢恢，咱得做个守法的白帽子，好了，今天就唠到这，下次有空再跟兄弟们聊聊中继攻击的那些骚操作，回见！