WindowsのLM、NTLMハッシュについて

Windowsでは、パスワードはLMハッシュ、またはNTLMハッシュで保存されています。

（それ以外の格納方法があるかどうかはまだ調べ中。）

今回は、Windowsのハッシュに関する検証をするにあたり、これらの知識の再確認です。

ちなみに、この辺り特に詳しいわけではないので、基本的にいろんな記事を寄せ集めたリンクです。

参考になるサイトのメモ・・・が今回の記事のメインです。

Windowsのパスワードハッシュについてざっくりまとめると以下のような理解・・・なのですが、間違ってるかもしれないので悪しからず。

（気がつけば直します）

参考にしたリンクを以下に記載します。

（今後もいい記事があったら増やしたい。）

Retrieving NTLM Hashes and what changed in Windows 10

パスワードってどこにあるの？その1
https://www.mbsd.jp/blog/20190514.html

それぞれ、パスワードのハッシュを求める方法が書かれています。

複雑な手順ではありますが、手順が分かってしまえば再現可能というわけです。

そのため、前回記事の「SANS SIFTのVolatilityの更新」で触れたhashdumpの機能でNTLMハッシュを取得することができる、ということです。

また、そもそものLM、NTLMの説明は、Wikiに十分書かれています。

LMハッシュ

NT LAN Manager

そして、よく問題になる、Windowsのpass-the-hashの問題。

Pass-the-Hashの仕組み

reverse-eg-mal-memoのブログ