Crack-wifi.com FORUM

LE FORUM DU SITE

Wifi, Backtrack, crack WEP et WPA...

Vous n'êtes pas identifié(e).  

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#1 27-01-2011 07:23:32

Lucas021
Membre Hyperactif
Inscription : 05-11-2010
Messages : 52

Sniff des mots de passe NTLM sur un Domaine

Bonjour
j'ai une question qui me dérange depuis pas longtemps:
Imaginez vous un Domaine informatique avec un attaquant (sous backtrack wink ) qui est connecté au réseaux mais pas au domaine, il veut récupérer des identifiants afin de se connecter a se dernier.
Puis il y a moi la victime qui allume son pc et arrive sur la page d'identification du Domaine, si je m'identifie est ce qu'il est possible que l'attaquant qui se met en position MITM entre moi et le serveur Active Directory, puissent intercepté mes identifiant sous formes de hash en sniffant le protocole utilisé ( LDAP je crois )

Merci smile

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#2 30-01-2011 11:52:12

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Sniff des mots de passe NTLM sur un Domaine

Salut !

Je ne connais pas trop LDAP, donc je ne sais pas si tu peux intercepter tes identifiants aussi facilement mais je doute wink C'est sûrement une version hashée qui circule, voire même un système de type challenge/réponse et dans ce cas-là tu ne peux rien en faire hmm
La meilleure façon de t'en assurer, c'est d'essayer big_smile Le trafic LDAP lui-même peut être sniffé et décodé par Wireshark (--> Using Wireshark to sniff Active Directory (LDAP) traffic), donc fais un essai et regarde si tu as accès à des infos intéressantes wink

Une autre approche, c'est d'utiliser Metasploit et ses fonctions de keylogger pour infecter le processus winlogon : quand un utilisateur se connecte on récupère ses identifiants. Évidemment, c'est plus compliqué dans le sens où il faut qu'on aie déjà accès à la machine pour récupérer des identifiants...
Plus d'infos --> Capturing Logon Credentials with Meterpreter

Hors Ligne

#3 01-02-2011 21:10:39

Lucas021
Membre Hyperactif
Inscription : 05-11-2010
Messages : 52

Re : Sniff des mots de passe NTLM sur un Domaine

Ok merci pour ta réponse wink
je n'ai pas pu pour l'instant tester sur un Domaine mais j'ai essayer de sniffer le protocole SMB avec Wireshark pour voir si je pouvais sniffer le mot d'un de mes pc qui se connecte a mes Dossier Partagée mais j'ai rien observer d'intéressant car énormément de requête; en revanche en cherchant sur google, j'ai pu voir que l'on pouvais sniffer le SMB sous windows avec Cain & Abel avec des résultats plus précis. Donc je lance ma Virtualbox Windows xp et teste avec Cain, la je vois apparaitre Un LM et NT Hashs avec un challenge qui était sous la même forme d'encryptage, j'ai pensée a ce que tu a dis dans ta réponse précédente que c'était un système de type challenge/réponse, j'ai donc essayé de cracker ses hashs sous Cain met sa mettait trop de temps, car j'ai pas réussi d'importer les hash sous un fichier de type PwDump pour les cracker sous Ophcrack.
j'ai aussi pensée a quelque chose mais je n'en suis pas sur du tout: le truc se serait de réinjecter les paquets avec les chalenges de la même manière que le cookies stealing en les ré envoyant au serveur SMB ce qui me permettrai d'accéder au partage réseaux sans rentrer le mot de passe.

Sinon les liens que tu ma donné sont très intéressant, surtout celui ou l'on infecte le winlogon big_smile
mais je voudrais savoir si l'on pouvait fermer la sessions du pc victime a distance avec meterpreter pour le forcer a se connecter sans perdre la session.

merci smile

Hors Ligne

#4 01-02-2011 21:30:52

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Sniff des mots de passe NTLM sur un Domaine

Le principe du challenge/response, c'est justement de ne pas être injectable smile A chaque demande de login, le serveur envoie un challenge aléatoire et le client doit lui renvoyer ce challenge aléatoire correctement chiffré avec la clé qu'il est sensé connaître. Si tu essaies de réinjecter une réponse à un challenge qui n'est plus du tout le même tu te feras juste jeter tongue

Si tu veux jouer avec SMB (que je ne connais pas bien), metasploit propose un module (différent de meterpreter) pour récupérer les hash NT & LM, il faut "juste" forcer la victime à lancer une connexion en SMB vers la machine attaquante (pas très difficile). Plus de détails sur cet article --> Using the Metasploit SMB Sniffer Module
Sinon, Ettercap est aussi capable de récupérer les hash apparemment --> Sniffing domain passwords?

Pour le winlogon infecté, il existe un petit script meterpreter qui force la session à se mettre en veille au bout de X secondes. La victime croit que c'est normal, elle tape son mot de passe pour déverrouiller l'écran et bingo smile Plus d'infos ici --> Capturing Windows Logons with Smartlocker

[EDIT] Pour filtrer le trafic SMB dans Wireshark, tu as des filtres précis --> Display Filter Reference: SMB (Server Message Block Protocol)
Je sais pas très bien lesquels tu dois utiliser pour isoler le mot de passe, sans doute [c]smb.password[/c] ou [c]smb.uid[/c], tu n'as qu'à regarder ce que ça donne wink

Hors Ligne

#5 03-02-2011 22:01:22

Lucas021
Membre Hyperactif
Inscription : 05-11-2010
Messages : 52

Re : Sniff des mots de passe NTLM sur un Domaine

Ok merci pour les infos wink
je commence vraiment a remarquer que l'univers du Pentesting est immense big_smile
Bref, je testerait tous sa quand j'aurais un peu de temps
et encore merci smile

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

Pied de page des forums


Le coin des bonnes affaires, achats informatiques:


|   Alfa 1000 mW AWUS036H   |    Linksys WRT54GL   |    Misco, informatique   |   
 |    Ebay   |    PC portables   |    PC Gamers & Tuning   |    Cles USB   |   
|   Disques durs externes 2 To   |   
|   Wifi-highpower.com   |   


Server Stats - [ Generated in 0.023 seconds ]   Forum Stat - [ Most users ever online on the forum was : 150 on 20-09-2009 17:06:59 ]