NTLM协议工作原理详解
NTLM协议在WindowsNT和Windows2000Server（或更高版本）的工作组环境中使用（Kerberos用于域模式下）。在AD域环境中，若需要验证WindowsNT系统，必须使用NTLM。与Kerberos相比，NTLM认证过程更为简单。NTLM采用挑战/响应（Challenge/Response）消息交换模式，以下是NTLM的认证流程：NTLM认证协议可用于多种协议中，例如HTTP、SMB等。以下通过HTTP协议来说明其具体认证流程：首先，
NTLM 协议在 Windows NT 和 Windows 2000 Server（或更高版本）的工作组环境中使用（Kerberos 用于域模式下）。
在 AD 域环境中，若需要验证 Windows NT 系统，必须使用 NTLM。与 Kerberos 相比，NTLM 认证过程更为简单。NTLM 采用挑战/响应（Challenge/Response）消息交换模式，以下是 NTLM 的认证流程：
NTLM 认证协议可用于多种协议中，例如 HTTP、SMB 等。以下通过 HTTP 协议来说明其具体认证流程：
首先，我们需要选择一个目标，也可以自己搭建一个基于域的 401 认证服务。我这里选择了一个实际的环境进行测试，通常 Exchange 邮件服务器会有 EWS 接口，我们可以随意选择一个进行测试。
在 Bing 上使用语法搜索：
找一个使用 Exchange 搭建的邮件服务器，并且支持 HTTP，因为转包查看时，HTTPS 经过加密的包不太容易分析。我找到了一个：
启动 Wireshark，然后访问上述链接，随机输入账号和密码，点击登录后，会得到一些 HTTP 数据包，如图：
验证流程分为三步：第一步，获取服务器的基本信息，例如认证协议、服务器版本，如图：
第二步，获取服务器返回给客户端的挑战值，如图：
这个值在后面的数据校验中会使用，这里先不详细介绍。
第三步，根据前面获取的数据，组合后提交给服务器，在服务器端进行验证。
这里的 NTProofStr 是一个用于数据验签的哈希值，确保前面获取的挑战和后面的数据是完整且未经修改的。
我们将上图中 NTLMv2 的响应值复制并处理如下：
最前面的 32 个字符就是验证数据完整性的哈希值，也就是 NTProofStr 的值，后面的数据中包含了一些服务器的信息，如图：
这些数据是第三步的请求阶段，即客户端提交给服务器的数据，服务器将使用这些数据进行验证，判断是否通过。
验签哈希如何产生？从上面我们看不到账号密码信息在哪里发挥作用，下面我们来看看具体账号密码在哪里被使用，以及在哪里发挥作用。
在内网渗透时，我们经常会捕获本地密码，本地存储的哈希就是用户密码经过一系列加密后的结果，具体加密方式如下：
函数解释：hex 用于将字符串转换为十六进制值、unicode 用于将字符串转换为双字节字符串、md4 为 md4 哈希。
以下是用 Python 编写的关键函数代码示例：
hex 函数：
def str_to_hex(s):
return ' '.join([hex(ord(c)).replace('0x', '') for c in s])转双字节函数：
def hex_to_unicode(hex_str):
hex_str_ = hex_str.replace(" ","00")+"00"
return hex_str_md4 哈希函数：
from Crypto.Hash import MD4
def str_to_md4(str_):
m = MD4.new()
m.update(str_)
return m.hexdigest()仅有密码是不够的，如何将用户名和域信息用上呢？这里涉及到一个 NTLMv2 HASH，具体算法如下：
关键函数：upper 用于将字符串全部转换为大写字母、md5 用于将 NTLM 的哈希作为盐，对用户名和域组合的信息进行 md5 哈希。
md5 哈希函数：
import hmac
import hashlib
def str_to_hmac_md5(passwd_,salt_):
h_md5 = hmac.new(salt_, passwd_, hashlib.md5).hexdigest()
return h_md5从上面的过程来看，最后得到的 NTLMv2 HASH 包含了账号、密码和域的信息，如果任何一个因素有问题，整个验证就不会成功，那么这个哈希在后面如何使用呢？
服务器如何验证客户端提交的信息？在最后一步，客户端提交的信息包括：
签名哈希 NTProofStr 用于验证数据完整性，数值为：c9ce34e95466b7e956dd63da0b17e2e8
还有一串数据，在上面已经提供，前面的 32 位字符串就是上面的签名哈希，去掉之后就是服务器相关的数据，提取出来如下：
在之前第二步时，获得了一个挑战值： e8fd1257ab09ae57
到这里，所有需要的数据都有了，那么这些数据之间有什么关系呢？主要是签名的获取算法，公式如下：
理解起来也很简单，就是将第二步的挑战值和服务器的数据连接起来，使用包含账号密码域信息的哈希作为盐进行 md5 哈希后的结果就是签名值，我们用一个小巧的计算器来计算一下：
正软商城本月促销专区，汇集办公、设计、安全、影音、系统工具及AI软件等正版软件优惠活动，提供限时折扣、特价授权和优惠购买信息，活动库存及价格以页面实时展示为准。
正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。
正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。
正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。
正软商城iOS软件专区，精选适用于iPhone和iPad的办公、学习、影音、设计、效率及AI应用，提供功能介绍、适用设备、系统要求和正版获取方式等信息。
正软商城AI软件专区，汇集AI写作、AI绘画、AI视频、AI办公、AI编程、AI翻译、智能客服和数据分析等人工智能工具，提供功能介绍、适用平台、收费方式及正版购买信息。
正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法，同时介绍常用PDF软件和工具的使用技巧。
赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
