W2023-ITS - Revision history

Dabenedi: /* Vorträge */

2023-12-05T09:40:45Z

Vorträge

← Older revision		Revision as of 09:40, 5 December 2023
Line 11:		Line 11:

	\|- style="background: #eef;"		\|- style="background: #eef;"
	\| 12:30-13:15 \|\| '''[[ W2023-ITS#NTLM_Relaying \| NTLM Relaying ]]''' \|\| Lea, Ben \|\| [[Media:~~NTLM_Folien~~.pdf \| pdf]]		\| 12:30-13:15 \|\| '''[[ W2023-ITS#NTLM_Relaying \| NTLM Relaying ]]''' \|\| Lea, Ben \|\| [[Media:NTLM-Relaying-Vortrag.pdf \| pdf]]

	\|- style="background: #ddf;"		\|- style="background: #ddf;"

Wolfm: /* Vorträge */

2023-12-05T09:34:31Z

Vorträge

← Older revision		Revision as of 09:34, 5 December 2023
Line 11:		Line 11:

	\|- style="background: #eef;"		\|- style="background: #eef;"
	\| 12:30-13:15 \|\| '''[[ W2023-ITS#NTLM_Relaying \| NTLM Relaying ]]''' \|\| Lea, Ben \|\|		\| 12:30-13:15 \|\| '''[[ W2023-ITS#NTLM_Relaying \| NTLM Relaying ]]''' \|\| Lea, Ben \|\| [[Media:NTLM_Folien.pdf \| pdf]]

	\|- style="background: #ddf;"		\|- style="background: #ddf;"
	\| 13:30-14:15 \|\| '''[[ Elektronische Siegel Urkunden ]]''' \|\| Arturo, Marc \|\|		\| 13:30-14:15 \|\| '''[[ Elektronische Siegel Urkunden ]]''' \|\| Arturo, Marc \|\| [[Media:ElSIG_Folien.pdf \| pdf]]

	\|- style="background: #dfd;"		\|- style="background: #dfd;"
Line 20:		Line 20:

	\|- style="background: #eef;"		\|- style="background: #eef;"
	\| 14:45-15:30 \|\| '''[[ SIKE: Los, Stop, Schade ]]''' \|\| Jakob, Marvey \|\|		\| 14:45-15:30 \|\| '''[[ SIKE: Los, Stop, Schade ]]''' \|\| Jakob, Marvey \|\| [[Media:SIKE_Folien.pdf \| pdf]]

	\|- style="background: #ddf;"		\|- style="background: #ddf;"
	\| 15:45-16:15 \|\| '''[[ W2023-ITS#Signal_Protocol_Post_Quantum_Security \| Signal Protocol Post Quantum Security ]]''' \|\| Emily \|\|		\| 15:45-16:15 \|\| '''[[ W2023-ITS#Signal_Protocol_Post_Quantum_Security \| Signal Protocol Post Quantum Security ]]''' \|\| Emily \|\| [[Media:PQSIG_Folien.pdf \| pdf]]

	\|- style="background: #fee;"		\|- style="background: #fee;"

Dabenedi: /* Beispiel: Relay-Angriff mit Responder.py simulieren */

2023-11-29T13:30:33Z

Beispiel: Relay-Angriff mit Responder.py simulieren

← Older revision		Revision as of 13:30, 29 November 2023
Line 206:		Line 206:

	Um also NTLM-Relaying Angriffe zu unterbinden, müssen "nur" folgende Vorkehrungen getroffen werden:		Um also NTLM-Relaying Angriffe zu unterbinden, müssen "nur" folgende Vorkehrungen getroffen werden:

	- Veraltete, unsichere Systeme weitestgehend deaktivieren		- Veraltete, unsichere Systeme weitestgehend deaktivieren

	- "Signierung erforderlich" aktivieren		- "Signierung erforderlich" aktivieren

	Folgendes Problem:		Folgendes Problem:
	Teure Geräte, die nur alle 10-20 Jahre erneuert werden, werden nur ungern vor ihrem "Lebensende" abgesteckt. Damit diese Systeme weiterhin genutzt werden können, muss also eine Abwärtskompatibilität gewährleistet werden... Eine Signierung mal kurz zu ergänzen ist auch nicht so einfach...		Teure Geräte, die nur alle 10-20 Jahre erneuert werden, werden nur ungern vor ihrem "Lebensende" abgesteckt. Damit diese Systeme weiterhin genutzt werden können, muss also eine Abwärtskompatibilität gewährleistet werden... Eine Signierung mal kurz zu ergänzen ist auch nicht so einfach...

Dabenedi: /* NTLM Relaying */

2023-11-29T13:26:22Z

NTLM Relaying

← Older revision		Revision as of 13:26, 29 November 2023
Line 160:		Line 160:

	Quelle: https://en.hackndo.com/assets/uploads/2020/03/ntlm_challenge_response.png		Quelle: https://en.hackndo.com/assets/uploads/2020/03/ntlm_challenge_response.png

	[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]		[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]

Dabenedi: /* NTLM Relaying */

2023-11-29T13:25:50Z

NTLM Relaying

← Older revision		Revision as of 13:25, 29 November 2023
Line 158:		Line 158:
	# Authenticate: Der Client verschlüsselt die Challenge mit seinem Passwort → sendet Response. Der Server schickt das Challenge/Response Paar an den Domain Controller zur Validierung		# Authenticate: Der Client verschlüsselt die Challenge mit seinem Passwort → sendet Response. Der Server schickt das Challenge/Response Paar an den Domain Controller zur Validierung
	[[File:NTLM-Handshake.png\|600px\|rechts\|NTLMv2 Response des Clients]]		[[File:NTLM-Handshake.png\|600px\|rechts\|NTLMv2 Response des Clients]]

	Quelle: https://en.hackndo.com/assets/uploads/2020/03/ntlm_challenge_response.png		Quelle: https://en.hackndo.com/assets/uploads/2020/03/ntlm_challenge_response.png
	[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]		[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]
Line 223:		Line 224:
	Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.		Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.
	[[File:Pass-the-hash.png\|600px\|links\|NTLMv2 Response des Clients]]		[[File:Pass-the-hash.png\|600px\|links\|NTLMv2 Response des Clients]]

	Quelle: https://en.hackndo.com/assets/uploads/2019/11/pass-the-hash-schema.png		Quelle: https://en.hackndo.com/assets/uploads/2019/11/pass-the-hash-schema.png

Dabenedi: /* NTLM Relaying */

2023-11-29T13:24:16Z

NTLM Relaying

← Older revision		Revision as of 13:24, 29 November 2023
Line 158:		Line 158:
	# Authenticate: Der Client verschlüsselt die Challenge mit seinem Passwort → sendet Response. Der Server schickt das Challenge/Response Paar an den Domain Controller zur Validierung		# Authenticate: Der Client verschlüsselt die Challenge mit seinem Passwort → sendet Response. Der Server schickt das Challenge/Response Paar an den Domain Controller zur Validierung
	[[File:NTLM-Handshake.png\|600px\|rechts\|NTLMv2 Response des Clients]]		[[File:NTLM-Handshake.png\|600px\|rechts\|NTLMv2 Response des Clients]]
			Quelle: https://en.hackndo.com/assets/uploads/2020/03/ntlm_challenge_response.png
	[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]		[[File:NTLMv2-Response.png\|600px\|links\|NTLMv2 Response des Clients]]

Line 222:		Line 223:
	Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.		Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.
	[[File:Pass-the-hash.png\|600px\|links\|NTLMv2 Response des Clients]]		[[File:Pass-the-hash.png\|600px\|links\|NTLMv2 Response des Clients]]
			Quelle: https://en.hackndo.com/assets/uploads/2019/11/pass-the-hash-schema.png

	Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.		Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.

Dabenedi: /* NTLM Relaying */

2023-11-19T15:51:24Z

NTLM Relaying

← Older revision		Revision as of 15:51, 19 November 2023
Line 225:		Line 225:
	Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.		Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.

	Anbei unsere Folien: [[NTLM-Relaying-Vortrag.pdf]]		Anbei unsere Folien: [[File:NTLM-Relaying-Vortrag.pdf]]

	Mentoren: [https://sar.informatik.hu-berlin.de/people/wolf_mueller.htm Wolf Müller]		Mentoren: [https://sar.informatik.hu-berlin.de/people/wolf_mueller.htm Wolf Müller]

Dabenedi: /* NTLM Relaying */

2023-11-19T15:50:40Z

NTLM Relaying

← Older revision		Revision as of 15:50, 19 November 2023
Line 225:		Line 225:
	Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.		Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.

			Anbei unsere Folien: [[NTLM-Relaying-Vortrag.pdf]]

	Mentoren: [https://sar.informatik.hu-berlin.de/people/wolf_mueller.htm Wolf Müller]		Mentoren: [https://sar.informatik.hu-berlin.de/people/wolf_mueller.htm Wolf Müller]

Dabenedi: /* NTLM Relaying */

2023-11-19T15:45:05Z

NTLM Relaying

← Older revision		Revision as of 15:45, 19 November 2023
Line 217:		Line 217:
	Wenn die NTLM-Hashes komprimittiert wurden, kann der Angreifer versuchen, die Passwörter zu erraten. Hierfür kann z.B. Hashcat verwendet werden, um einen Dictionary-Angriff auszuführen. Die Voraussetzung ist natürlich, dass das gewählte Passwort des Clients (oder Admins) schwach genug ist, um über einen Dictionary-Angriff erfolg zu haben.		Wenn die NTLM-Hashes komprimittiert wurden, kann der Angreifer versuchen, die Passwörter zu erraten. Hierfür kann z.B. Hashcat verwendet werden, um einen Dictionary-Angriff auszuführen. Die Voraussetzung ist natürlich, dass das gewählte Passwort des Clients (oder Admins) schwach genug ist, um über einen Dictionary-Angriff erfolg zu haben.
	Um einfach nur an das Passwort eines Clients zu kommen, könnte der Angreifer auch die NTLM-Authentifizierung selber durchführen und die NTLM-Challenge ("Zufallszahl") an den Client senden und danach eine Regenbogen-Tabelle verwenden, um das Passwort des Clients zu erfahren. Auch dieser Angriff ist nur möglich, wenn das Passwort in unserer Regenbogen-Tabelle enthalten ist. Der Angreifer könnte also leer ausgehen.		Um einfach nur an das Passwort eines Clients zu kommen, könnte der Angreifer auch die NTLM-Authentifizierung selber durchführen und die NTLM-Challenge ("Zufallszahl") an den Client senden und danach eine Regenbogen-Tabelle verwenden, um das Passwort des Clients zu erfahren. Auch dieser Angriff ist nur möglich, wenn das Passwort in unserer Regenbogen-Tabelle enthalten ist. Der Angreifer könnte also leer ausgehen.
			[[File:hashcat.png\|600px\|links\|NTLMv2 Response des Clients]]

	2. pass-the-hash		2. pass-the-hash

Dabenedi: /* NTLM Relaying */

2023-11-19T15:42:57Z

NTLM Relaying

← Older revision		Revision as of 15:42, 19 November 2023
Line 220:		Line 220:
	2. pass-the-hash		2. pass-the-hash
	Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.		Wenn z.B. der Dictionary-Angriff nicht funktioniert hat (oder man sich gar nicht für die Passwörter interessiert, da NTLM-Hashes bei der Authentifizierung gleichwertig sind), kann man auch einfach die NTLM-Hashes verwenden, um sich bei weiteren Servern anzumelden. Ein Client mit Admin-Rechten auf Server A, kann ebenfalls Admin-Rechte auf Server B haben. Und da die Authentifizierung mit dem gleichen NTLM-Hash stattfindet, kann der Angreifer sich bei Server B authentifizieren (ohne je das Passwort gewusst zu haben) und weitere Systeme komprimittieren.
			[[File:Pass-the-hash.png\|600px\|links\|NTLMv2 Response des Clients]]

	Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.		Es existieren noch weitere Angriffe, die nach dem NTLM-Relay Angriff möglich sind, jedoch sind die Grundzüge in crack-the-hash und pass-the-hash enthalten. Je komplexer das anzugreifende System (unterschiedliche Hierarchien unter den Servern, etc.), desto ausgefallener werden auch die weiteren Angriffe. Dies könnte man sich in späteren Projekten genauer anschauen (jedoch würde dafür unsere Testumgebung zuerst angepasst werden müssen). Ein weiterer Schritt in die gleiche Richtung wäre, Kerberos-Relaying auszuprobieren.