En mimikatz, sekurlsa::pth también soporta /aes256 switch. Pero, ¿cómo puedo obtener el hash aes256?
Puedo recuperar el hash NTLM de muchas herramientas diferentes, ¿hay alguna forma de convertirlo a uno aes256?
En resumen, no, no puede convertir NTLM a AES. NTLM es una función de hashing vs AES, que es un algoritmo de cifrado ( vea @MikeOunsworth para obtener más información sobre esto ).
Para recuperar la versión AES de la contraseña, el Dominio debe configurarse para almacenarlos como tales y los recuperaría al descargar ntds.dit (copia de seguridad de Active Directory User Hive). Luego puede usar secretsdump.py o una herramienta similar para extraer las versiones de AES. Ahora dicho esto, necesitará el Administrador de dominio (o permisos equivalentes) para volcar ntds.dit (desde un Controlador de dominio), por lo que es posible que no se necesite PTH si tiene ese nivel de permisos, pero podría hacerlo sin embargo.
EDIT
Aquí es cómo se ve cada versión cuando se recupera de ntds.dit
WAKANDA$:5136:aad3__LM-HASH__d3b435b54ee:f1e03f8f94__NTLM-HASH__f0c0df:::
WAKANDA$:aes256-cts-hmac-sha1-96:8941c28ac__snip__8a51adf13336b
WAKANDA$:aes128-cts-hmac-sha1-96:cbe71ab9b__snip__2dc21d6
WAKANDA$:des-cbc-md5:576_snip_bcec
WAKANDA$:rc4_hmac:f1e036ef8f__snip__69cf0c0df
Tienes dos preguntas ahí. Voy a responder a esta:
Puedo recuperar el hash NTLM de muchas herramientas diferentes, ¿hay alguna forma de convertirlo a uno aes256?
Primero que nada, los hashes NT / LM son funciones hash que toman un mensaje para producir un hash, mientras que AES es un cifrado de bloque que recibe un mensaje y una clave para producir un texto cifrado. Estas cosas generalmente sirven para diferentes propósitos (por ejemplo, los hashes a menudo se usan con contraseñas, los cifrados en bloque no). No soy un experto en NTLM, pero parece sospechoso que quieras convertir de uno a otro.
En segundo lugar, desde este artículo tenemos:
El hash LM es una función unidireccional muy débil que se utiliza para almacenar contraseñas. Inicialmente inventado para el sistema operativo LAN Manager, el hash LM se incluyó en Windows NT por compatibilidad con versiones anteriores. Todavía se incluye para la compatibilidad con versiones anteriores. Debido a la forma en que se calcula el hash LM, ninguna contraseña con un hash LM es más fuerte que una contraseña de 7 caracteres seleccionada de un conjunto de caracteres de 142 caracteres.
que nos dice que se trata de una función criptográfica de hash de una vía (aunque sea obsoleta y débil). Convertir un hash NTLM en otra cosa primero requeriría que fueras la fuerza bruta al hash para recuperar el texto sin formato.
Conclusión: probablemente debería leer un poco más sobre qué son los hashes NTLM y AES, y quizás las cosas se vuelvan un poco más claras para usted.
Lea otras preguntas en las etiquetas mimikatz