什麼是 Pass-the-Hash (PtH) 與 Pass-the-Ticket (PtT)？

Pass-the-Hash (PTH) 與 Pass-the-Ticket (PTT) 攻擊是用來利用驗證通訊協定的技術。本指南將探討這些攻擊的運作方式、對安全性的影響，以及預防策略。

了解保護憑證安全以及監控可疑活動的重要性。理解 PTH 與 PTT 攻擊對於組織保護其系統至關重要。

組織必須實施強大的存取控制、採用進階威脅偵測與監控工具，並定期更新安全通訊協定，以阻止這些隱蔽戰術。藉由這麼做，他們可以更有效防禦 PtH 與 PtT 所帶來持續且不斷演變的威脅，保護其敏感資料與網路完整性。

Pass-the-Hash (PtH) 與 Pass-the-Ticket (PtT) 之間的差異

PtH 與 PtT 都是網路安全中使用的惡意技術，但兩者在焦點與執行方式上有所不同，同時也具有共同特徵。PtH 與 PtT 都用於：

• 驗證攻擊 – PtH 與 PtT 都是以驗證為基礎的攻擊，目標是網路中用於驗證使用者或系統身分的機制。
• 橫向移動 – 這兩種攻擊都能促成 橫向移動 於網路內部。一旦取得初始存取權，攻擊者便會使用遭竊的憑證（雜湊或票證）進行橫向移動，並存取其他系統或資源。
• 規避偵測 – PtH 與 PtT 攻擊本質上具有隱匿性，因為它們通常無需取得明文密碼，因此更難被偵測。

PtH 與 PtT 在以下幾個關鍵方面有所不同：

• 目標 – PtH 主要著重於從遭入侵的系統中竊取雜湊密碼，而 PtT 則著重於在 Windows 網域環境中竊取並濫用驗證票證。
• 憑證 – 在 PtH 中，攻擊者使用遭竊的密碼雜湊進行驗證；而在 PtT 中，他們則濫用為使用者或服務驗證所產生的 Kerberos 票證。
• 範圍 – PtH 攻擊的涵蓋範圍較廣，因為它們可鎖定 Windows 網域以外的各種平台與系統。PtT 攻擊則更專屬於 Windows 網域環境。

PtH 與 PtT 都是在網路攻擊中用於橫向移動與權限提升的危險戰術。雖然兩者都有破壞驗證機制的共同目標，但 PtH 涉及竊取密碼雜湊，而 PtT 則著重於濫用 Windows 網域中的驗證票證。理解這些技術之間的差異與相似之處，對於有效的網路安全防禦與事件回應至關重要。

Pass-the-Hash (PtH) 與 Pass-the-Ticket (PtT) 簡要概述

早在 1990 年代，當網路犯罪分子與安全研究人員開始意識到 Windows 作業系統處理驗證憑證方式中固有的弱點時，PtH 與 PtT 攻擊便首次受到關注。PtH 作為一種從遭入侵系統擷取密碼雜湊資料的技術而出現。接著，攻擊者便可重複使用這些雜湊值，在其他系統上驗證自己的身分，從而有效繞過對明文密碼的需求。

另一方面，PtT 主要鎖定使用 Kerberos 驗證通訊協定的 Windows 環境。它涉及竊取並濫用驗證票證，這些票證是在使用者或服務驗證期間產生的。攻擊者利用 Kerberos 票證系統中的缺陷，使其能夠冒充合法使用者或服務，並未經授權存取系統與資源。

在當今的網路安全情勢中，PtH 與 PtT 攻擊仍然是強大的威脅。攻擊者已精進這些技術，並將其納入 進階持續性威脅 (APT) 活動以及 勒索軟體 攻擊中，通常會利用網路安全弱點或使用社交工程手法來取得初始存取權。一旦進入網路，他們便會使用 PtH 與 PtT 攻擊進行橫向移動、權限提升與資料外洩。

PtH 與 PtT 攻擊的重要性，體現在它們能藉由利用雜湊憑證與驗證票證來繞過傳統安全措施並規避偵測。防禦這些攻擊需要多管齊下的方法，包括強大的密碼原則、定期安全更新、健全的存取控制，以及進階威脅偵測系統。

了解 Pass-the-Hash (PtH) 與 Pass-the-Ticket (PtT) 的運作方式

PtH 與 PtT 是網路安全中採用的複雜且惡意戰術，特別存在於 Windows 環境中，會促成未經授權的存取與權限提升。這些技術最初是作為入侵 Windows 驗證系統的隱蔽方法而開發，之後已演變為網路安全情勢中的持續性威脅。

PtH 與 PtT 攻擊是攻擊者用來未經授權存取網路內系統與資源的技術。NTLM (NT LAN Manager) 因其固有弱點，經常成為這些攻擊的目標。以下是這些技術運作方式的詳細技術說明：

Pass-the-Hash (PtH)

• 初始憑證竊取 – PtH 攻擊通常始於攻擊者取得 Windows 系統的初始存取權，常見方式包括 網路釣魚、惡意軟體 感染，或利用軟體弱點。一旦進入系統，攻擊者的目標就是竊取儲存在系統本機上的密碼雜湊資料。Windows 會將密碼的雜湊表示儲存在記憶體中，以便在不揭露明文密碼的情況下進行驗證。
• 擷取雜湊 – 攻擊者會使用各種工具與技術，從系統記憶體中擷取雜湊密碼資料。其中一種常用工具是 Mimikatz，可從 Windows 系統擷取認證資料。
• 雜湊使用 – 有了擷取到的密碼雜湊後，攻擊者不需要知道實際的明文密碼。相反地，他們會在驗證嘗試中直接使用此雜湊。
• 攻擊者將竊取的雜湊傳送至其想要存取的目標系統，假冒為合法使用者。接著，目標系統會將攻擊者提供的密碼進行雜湊，並與儲存的雜湊比對以進行驗證。
• 取得存取權 – 如果雜湊相符，攻擊者便可未經授權存取目標系統或資源，實際上繞過了對受害者明文密碼的需求。
• 攻擊者經常利用此存取權在網路中進行橫向移動、提升權限，以及存取敏感資料。

Pass-the-Ticket (PtT)

• Kerberos 驗證 – PtT 攻擊主要鎖定使用 Kerberos 驗證通訊協定的 Windows 環境。Kerberos 常用於 Active Directory (AD) 環境，以實現單一登入與安全驗證。
• 初始票證建立 – 當使用者登入 Windows 系統時，Kerberos 驗證程序會為使用者產生一個 Ticket Granting Ticket (TGT)，並使用僅使用者與 Key Distribution Center (KDC) 知道的長期祕密（通常是使用者的密碼雜湊）加密。
• 票證擷取 – 在 PtT 攻擊中，攻擊者的目標是從其已取得初始存取權的受害系統記憶體中擷取此 TGT。
• 攻擊者使用如 Mimikatz 等工具從記憶體中擷取 TGT。
• 票證使用 – 一旦取得遭竊的 TGT，攻擊者即可冒充與該 TGT 關聯的合法使用者。攻擊者在請求特定資源的服務票證時，會向 KDC 出示該 TGT。
• 服務票證請求 – 信任該 TGT 的 KDC 會為攻擊者請求的資源簽發服務票證。這些服務票證會使用從 TGT 衍生的工作階段金鑰加密。
• 資源存取 – 憑藉有效的服務票證，攻擊者可以像合法使用者一樣存取網路資源與系統。這使他們能夠在網路中進行橫向移動，並可能進一步入侵其他系統。

PtH 與 PtT 攻擊都特別令人憂心，因為它們讓攻擊者在不知道受害者明文密碼的情況下仍可進行操作。緩解這些攻擊需要多管齊下的方法，包括強式密碼原則、定期安全更新、強健的存取控制，以及 進階威脅偵測 系統。此外，組織應監控認證竊取跡象與異常驗證活動，以便及時偵測並回應 PtH 與 PtT 攻擊。

為防範與 PtH 和 PtT 攻擊相關的風險，企業正實施多項措施：

• 強式驗證 – 採用 多重要素驗證 (MFA) 和雙因素驗證 (2FA) 可在密碼之外增加額外的安全層。
• 最小權限存取 – 限制使用者的存取權與權限，有助於降低認證遭入侵可能造成的損害。
• Privileged Access Management (PAM) – PAM 解決方案有助於管理、監控及保護特權 帳戶與存取.
• 網路分段 – 將關鍵系統與較不關鍵的系統隔離，可限制在網路內的橫向移動。
• 定期輪替認證憑證 – 實施要求定期變更密碼的政策，有助於縮短 PtH 和 PtT 攻擊可利用的時間窗口。
• 安全意識訓練 – 教育員工了解 PtH 和 PtT 攻擊的風險，以及維持良好密碼衛生的重要性，是不可或缺的。
• 入侵偵測系統 – 採用進階入侵偵測系統有助於偵測並阻擋 PtH 和 PtT 嘗試。

結論

Pass-the-Hash (PtH) 與 Pass-the-Ticket (PtT) 攻擊在當前的數位環境中仍是持續存在的威脅。這些技術通常鎖定 NTLM 和 Kerberos 等驗證通訊協定，凸顯了網路攻擊不斷演變的本質，以及持續保持警戒的必要性。

PtH 和 PtT 會利用驗證機制中的弱點，使攻擊者能夠秘密滲透網路、進行橫向移動、提升權限，並未經授權存取敏感系統與資料。其後果可能非常嚴重，從資料外洩與財務損失到聲譽受損皆有可能。

PtH 和 PtT 攻擊鮮明地提醒我們，資安版圖是一個持續變化的戰場。為了防範這些威脅，個人與組織都必須保持警戒、採取主動式安全措施，並與資安專家合作。領先防範 PtH 和 PtT 攻擊不只是重要；更是在面對窮追不捨的對手時，守護數位世界的關鍵。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More