Conditions du Pass-the-Hash
Guide professionnel et progressif consacré à conditions du pass-the-hash, avec méthodologie autorisée, interprétation, preuves et remédiations.
En bref
- But : Guide professionnel et progressif consacré à conditions du pass-the-hash, avec méthodologie autorisée, interprétation, preuves et remédiations.
- Preuve attendue : une relation AD confirmée par deux sources et une recommandation de réduction des privilèges
- Limite : le résultat est valable uniquement pour les versions, rôles, chemins et conditions effectivement testés.
Définition et portée
Expliquer les risques NTLM et démontrer les contrôles de défense sans fournir de procédure d’intrusion réelle. Une démarche Red Team fiable combine compréhension du système, progression mesurée, journalisation des actions et restitution compréhensible par les équipes techniques et métier. Cette règle générale prend ici une forme particulière pour « Conditions du Pass-the-Hash » : la section « Définition et portée » définit les limites et le résultat attendu.
« Définition et portée » pose le cadre technique de « Conditions du Pass-the-Hash ». Le chapitre examine les identités, groupes, délégations, ACL, relations de confiance, chemins d’administration et événements d’authentification du domaine. Dans le domaine « NTLM et Pass-the-Hash », l’objectif est de distinguer l’état attendu, les faits observés et les hypothèses qui nécessitent encore une confirmation.
La portée de « Conditions du Pass-the-Hash » reste limitée aux actifs et comptes autorisés. Le lecteur doit pouvoir expliquer ce que couvre les identités, groupes, délégations, ACL, relations de confiance, chemins d’administration et événements d’authentification du domaine, mais aussi ce que le test ne permet pas de conclure sans données supplémentaires.
Architecture observée
Pour « Conditions du Pass-the-Hash », chaque composant est relié à sa source de vérité : configuration, identité, service ou journal. Cette cartographie évite d’attribuer un résultat à la mauvaise couche technique.
- Cartographier pour « Conditions du Pass-the-Hash » les identités, groupes, délégations, ACL, relations de confiance, chemins d’administration et événements d’authentification du domaine.
Préparer les données de test
La préparation de « Conditions du Pass-the-Hash » inclut un compte et des données dédiés, un dossier de preuve et un seuil d’arrêt. Aucun élargissement de périmètre n’est implicite : toute cible supplémentaire doit être validée.
Exécuter sans perturber
L’utilisation de « Conditions du Pass-the-Hash » dans la section « Exécuter sans perturber » commence par l’action minimale qui répond à la question. Ajouter une option à la fois, comparer la sortie à une référence et conserver empreintes de hachage d’exemple, commande, version, vitesse, session, potfile et statistiques.
Dans « Conditions du Pass-the-Hash », les commandes ou actions sont exécutées avec la version documentée de l’outil et des sorties natives. Le tutoriel commence par l’aide intégrée, utilise les options minimales et s’arrête dès que la preuve prévue est obtenue.
Critères de clôture
La correction liée à « Critères de clôture » doit permettre de migrer vers Argon2id, scrypt, bcrypt ou PBKDF2 avec sel unique et bloquer les mots de passe compromis. Une preuve de déploiement est obtenue avant de reproduire le contrôle initial avec les mêmes données et le même périmètre. Le point est ici appliqué au cas « Conditions du Pass-the-Hash ».
La clôture de « Conditions du Pass-the-Hash » confirme également la révocation des accès temporaires, l’arrêt des processus et l’archivage contrôlé des preuves.
- Conserver la sortie brute produite pour conditions du pass-the-hash et l’empreinte des fichiers de preuve.
- Séparer les faits de conditions du pass-the-hash, les hypothèses et les recommandations.
- Supprimer les comptes, fichiers ou tunnels créés spécifiquement pour conditions du pass-the-hash.
- Faire confirmer le retour à l’état initial après le contrôle conditions du pass-the-hash.
- Planifier un retest ciblé sur les corrections liées à conditions du pass-the-hash.
Commandes et exemples
Les exemples ci-dessous proviennent des éléments utiles de « Conditions du Pass-the-Hash ». Adaptez uniquement les valeurs du laboratoire et conservez la commande exacte avec sa sortie.
Exemples de laboratoire
# Chapitre : Conditions du Pass-the-Hash
# Répertoire de preuve conseillé : preuves/conditions_du_pass_the_hash/bloc_01
# Pour les sujets sensibles, limiter les commandes à l’inventaire et au contrôle
whoami
hostname
netstat -ano 2>/dev/null || ss -tulpen
Tutoriel guidé et reproductible — Conditions du Pass-the-Hash
# Conditions du Pass-the-Hash
OUT="preuves/03_conditions_du_pass_the_hash"
mkdir -p "$OUT"
printf 'password\n' > "$OUT/wordlist-lab.txt"
printf 'admin\nPasswordLab2026!\n' >> "$OUT/wordlist-lab.txt"
printf '5f4dcc3b5aa765d61d8327deb882cf99\n' > "$OUT/md5-lab.txt"
# Hashcat : mode 0 = MD5 brut, attaque dictionnaire
hashcat -m 0 -a 0 "$OUT/md5-lab.txt" "$OUT/wordlist-lab.txt" \
--session=md5-lab --potfile-path="$OUT/md5-lab.pot"
hashcat -m 0 "$OUT/md5-lab.txt" --show \
--potfile-path="$OUT/md5-lab.pot"
# John the Ripper : même jeu de test
john --format=raw-md5 --wordlist="$OUT/wordlist-lab.txt" \
--pot="$OUT/john-md5.pot" "$OUT/md5-lab.txt"
john --show --format=raw-md5 --pot="$OUT/john-md5.pot" \
"$OUT/md5-lab.txt"Lire les résultats
Pour « Conditions du Pass-the-Hash », vérifiez l’objet, le principal, le droit effectif, l’héritage et l’événement associé. Un chemin théorique n’est confirmé que si toutes les préconditions sont présentes.
Détection, correction et retest
La correction de « Conditions du Pass-the-Hash » vise d’abord les droits excessifs, les configurations héritées et les systèmes non corrigés. Le retest utilise le même compte, la même portée et les mêmes requêtes en lecture seule.
Références
- OWASP — Password Storage Cheat Sheet
- John the Ripper — documentation
- Hashcat — Rule-based attack
- Hashcat — Example hashes
- Microsoft Learn — NTLM overview
- MITRE ATT&CK — Enterprise Matrix
- Microsoft Learn — Credential Guard
- Fortra Impacket Repository
- NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment
- Penetration Testing Execution Standard
- A-poc — RedTeam-Tools
- infosecn1nja — Red-Teaming-Toolkit
- HackTricks — Pentesting Methodology
À retenir
Pour maîtriser « Conditions du Pass-the-Hash », retenez trois idées : comprendre les objets AD concernés, les relations de contrôle, l’héritage des ACL et les dépendances entre domaines, hôtes et identités, exécuter une méthode limitée et reproductible, puis transformer la sortie en preuve contextualisée. Le chapitre est terminé lorsque le résultat peut être confirmé, que ses limites sont explicites et que la correction peut être retestée sans réinterpréter toute la mission.
- Savoir expliquer le mécanisme propre à « Conditions du Pass-the-Hash » sans réciter une commande.
- Conserver au minimum objet source et objet cible, relation ou droit observé et portée de l’héritage.
- Éviter en priorité de prendre un chemin théorique pour une compromission confirmée et de ignorer les groupes imbriqués et les héritages.
- Proposer une action corrective mesurable et un retest réalisable.