Pass the hash (PtH) – technika ataku pozwalająca uwierzytelnić się jako dany użytkownik za pomocą skrótu jego hasła, bez znajomości hasła w postaci jawnej. Atak pomija etap uwierzytelniania wymagający hasła i przechodzi od razu do części opartej na jego skrócie. Najczęściej dotyczy protokołu NTLM w środowiskach Windows, w którym to skrót hasła, a nie samo hasło, pełni rolę klucza w uwierzytelnianiu.
Atakujący najpierw zdobywa skrót hasła, np. zrzucając go z pamięci procesu LSASS, a następnie używa go do uwierzytelnienia się jako właściciel konta i wykonywania działań na innych systemach. W bazie MITRE ATT&CK technika jest opisana jako T1550.002 i zaliczana do metod poruszania się w sieci (ang. lateral movement). Popularnym narzędziem do jej przeprowadzania jest Mimikatz.
Odmianą ataku jest overpass the hash, w której skrót hasła służy dodatkowo do utworzenia poprawnego biletu Kerberosa, wykorzystywanego następnie w ataku pass the ticket.
Skrótu przesyłanego przez sieć w odpowiedzi na wyzwanie serwera (NetNTLMv2) nie da się użyć w ataku pass the hash, ponieważ jest on jednorazowy dla danej sesji.
Przeciwdziałanie Do ograniczania ryzyka ataku MITRE ATT&CK zalicza m.in. ograniczanie powtarzalności haseł kont między systemami, niedodawanie użytkowników domenowych do grupy lokalnych administratorów na wielu komputerach, stosowanie mechanizmu User Account Control wobec kont lokalnych przy logowaniu sieciowym oraz instalację poprawki KB2871997 w systemach Windows 7 i nowszych.
Przypisy
Zobacz też NTLM Kerberos
Kategoria:Bezpieczeństwo komputerowe Kategoria:Ataki komputerowe