Tengo un número de hashes LM que he estado intentando descifrar con hashcat. Mi entendimiento fue que LM divide las contraseñas en dos cadenas separadas de 7 caracteres antes de que se eliminen. También creo que solo usan letras mayúsculas, así como dígitos y caracteres especiales.
He intentado ejecutar el siguiente comando en hashcat: hashcat64.exe -m 3000 -a 3 lm-out.txt -1 ?u?d?s --increment ?1?1?1?1?1?1?1
Esto debería forzar con fuerza bruta todas las combinaciones posibles con los caracteres aceptables para LM de 1 a 7 caracteres. Sin embargo, después de completar esto, solo se ha recuperado el 0.20% de todas las contraseñas.
Me preguntaba si alguien podría arrojar alguna luz sobre esto por mí. Sé que la máscara de caracteres especiales de hashcat no incluye el signo de libra, pero no puedo entender por qué más del 99% de las contraseñas no serían forzadas de manera brutal de esta manera. El hecho de que algunos se hayan recuperado como simples palabras me lleva a creer que no se pueden modificar de alguna manera antes de ser eliminados.
(También, trabajo en seguridad cibernética, ¡así que esto no es una solicitud de "Black Hat" de ninguna manera!)
Probé los hashes de muestra de hashcat.net/wiki/doku.php?id=example_hashes, para descartar que un hash se corrompiera, como sugirió Rory, pero ha logrado extraer aproximadamente 20 contraseñas de los hashes, que es lo que me hace creer que los hash no se pueden corromper o que no hay una capa adicional de seguridad de alguna manera, ya que esto afectaría a todos los hash, no solo a la mayoría de ellos?
Todos los hashes fueron extraídos a la vez del archivo NTDS.dit por el mismo script, por lo tanto, ¿deberían estar todos bien o estar todos corruptos? A menos que haya entendido mal esa sugerencia?
En relación con la respuesta de Royce (Gracias por la respuesta completa):
-
Cuando digo libra: en realidad soy inglés, por lo que quiero decir literalmente el símbolo "£" en lugar de "#". Cuando verifiqué el conjunto de caracteres de caracteres especiales en el wiki de hashcat, ¿el símbolo "£" no apareció en esa lista? Como también es un volcado de hash en inglés, me pregunté si eso podría ser parte del problema. ¡Disculpas por la confusión!
-
Con respecto a los hashes que se han resquebrajado: todos son 7 para la primera parte y en blanco para la segunda, o 7 para la primera parte y 1-6 para la segunda. ¡Son alfanuméricos con! como el único personaje especial. Son palabras reales, o palabras que han sido destrozadas con números en lugar de letras.
-
Ya no tengo acceso al sistema de destino, pero ¿el hecho de que se hayan resquebrajado algunos hashes significaría que el problema no puede ser abordado? ¿En el sentido de que los que funcionaron se extrajeron de la misma manera?
-
No estoy seguro de saber cómo descubrir el conjunto de caracteres / páginas de códigos predeterminados del sistema, y como ya no tengo acceso al sistema, no sé si puedo responder a eso. ¿Habría alguna diferencia entre el inglés del Reino Unido y el inglés de EE. UU. Que pudiera estar causando problemas si Hashcat asume que EE. UU.?
-
Si se usaran caracteres ALT que obligaron a almacenar las contraseñas como NTLM, ¿esto no reemplazaría todos los hashes LM para esas contraseñas con un hash "en blanco" estándar? Eso es algo que me ha estado confundiendo, ya que todos los hashes sin fisuras son diferentes, lo que significa que asumí que son hashes de valores diferentes. ¡También pensé que era poco probable que más del 99% de los usuarios hubieran estado usando caracteres locos y no estándar en sus contraseñas! (¡Especialmente dadas las contraseñas que se han descifrado!)
-
Para extraer los hashes hice una instantánea de volumen y agarré NTDS.dit y SYSTEM. Luego utilicé esedbexport para extraer las tablas y ntdsxtract (específicamente dsusers.py) para extraer los hashes. Creo que esta es una ruta bastante estándar, pero puedo publicar enlaces a las herramientas, o información más exacta sobre mi proceso allí si quisiera que se aclarara.
Una vez más, sin embargo, creo que lo que me sigue tirando es que algunos de los hashes se están agrietando, por lo que si hubo un error en este proceso, o incluso con el conjunto de caracteres del sistema, ¿no ¿Has hecho todos los trucos de hash?
Gracias de nuevo por tu ayuda, Royce, muy apreciada.
(Además, ¡recomendar la compatibilidad con versiones anteriores de LM es algo que ya hemos hecho!)