Hacker News 中文摘要

RSS订阅

发布彩虹表以加速淘汰Net-NTLMv1协议 -- Releasing rainbow tables to accelerate Net-NTLMv1 protocol deprecation

原文链接 | HN讨论 | 2026-01-17 13:45:07

文章摘要

谷歌发布Net-NTLMv1彩虹表数据集，加速淘汰这一过时协议。该协议存在20多年安全风险，却仍被广泛使用。新数据集使安全人员能用普通设备在12小时内破解密钥，直观展示其脆弱性，推动企业尽快升级。此举结合了谷歌资源与安全前线经验，旨在消除此类攻击威胁。

文章总结

标题：公开彩虹表以加速淘汰过时协议

引言

Mandiant近日公开发布了一套完整的Net-NTLMv1彩虹表数据集，旨在敦促企业尽快迁移这一陈旧协议。尽管Net-NTLMv1已被弃用且其安全漏洞早在1999年就被发现，但Mandiant顾问仍发现其在实际环境中使用。该协议使企业面临凭证窃取风险，却因惯性思维和缺乏直接风险证明而持续存在。

通过发布这些彩虹表，Mandiant希望降低安全专业人员验证Net-NTLMv1不安全性的门槛。以往利用该协议需依赖第三方服务或昂贵硬件，而此次发布的数据集允许使用成本低于600美元的消费级硬件在12小时内破解密钥。此举展现了Mandiant前线经验与谷歌云资源的结合如何有效消除特定攻击类型。

背景

Net-NTLMv1的不安全性自2012年DEFCON 20会议后广为人知，其加密分析可追溯至1999年。2016年8月，Hashcat新增对DES密钥的破解支持，进一步降低了攻击门槛。彩虹表技术则源于2003年Philippe Oechslin的论文，其核心思想可追溯至1980年Martin Hellman提出的时间-内存权衡理论。

攻击者若获取不含扩展会话安全（ESS）的Net-NTLMv1哈希（已知明文为1122334455667788），即可实施已知明文攻击（KPA），从而获取认证对象的密码哈希。这一漏洞常被用于特权提升，例如通过域控制器（DC）机器账户哈希获取DCSync权限，进而控制整个活动目录（AD）。

数据集发布

用户可通过以下方式获取数据集： - 命令行：gsutil -m cp -r gs://net-ntlmv1-tables/tables . - 谷歌云研究数据集门户

完整性校验步骤： 1. 下载校验文件：gsutil -m cp gs://net-ntlmv1-tables/tables.sha512 . 2. 验证：sha512sum -c tables.sha512

密码破解社区已基于该数据集开发衍生工具。

彩虹表使用方法

获取Net-NTLMv1哈希后，可使用以下工具进行破解： - CPU端：传统工具如rainbowcrack (rcrack)或现代版本RainbowCrack-NG - GPU端：rainbowcrackalack的分支版本

需先使用ntlmv1-multi工具将哈希预处理为DES组件。

攻击流程演示

  1. 诱导认证：使用Responder工具配合--lm和--disable-ess参数，或通过PetitPotam等工具强制域控制器发起连接（图1-图3）。
  2. 哈希破解：将获取的Net-NTLMv1哈希拆分为DES密文（图4），加载彩虹表破解密钥（图5-图7）。
  3. 权限提升：通过计算完整NT哈希（图8），利用DCSync攻击获取域控权限（图10）。

结论

Mandiant通过公开这一数据集，为企业提供了直观验证Net-NTLMv1风险的工具。建议立即采取以下措施： 1. 禁用Net-NTLMv1协议 2. 实施SMB签名等防护措施 3. 监控认证强制攻击行为

（注：原文中的图片描述及技术细节已简化为流程说明，完整操作请参考原始链接。）

评论总结

评论观点总结：

  1. 对技术突破的肯定
  • "pretty cool"（ubuntulover2011）
  • "Great, so someone with half a motherboard can break this hash"（aunty_helen）
  1. 对安全风险的担忧
  • "This empowers script kiddies...likely to be used by governments"（observationist）
  • "They're just dumping them out as 2GB blobs onto a cloud?"（1970-01-01）
  1. 对过时技术的批评
  • "I honestly thought the 90s called...It's unbelievable"（TacticalCoder）
  • "Didn't l0phtcrack do this like 25 years ago?"（davidkellis）
  1. 商业动机质疑
  • "The big 'contact mandiant' button...trying to stay relevant"（bflesch）
  • "boost our company's social media cred"（schmuckonwheels）
  1. 实际影响分析
  • "Amazing that this is still around...justify spending money on"（dbetteridge）
  • "They decided to not fix the vulns...an act of mercy"（BrandoElFollito）
  1. 技术细节补充
  • "The SHA512 file lists...about 8.6 TB of storage"（archi42）
  • "had to fork our crypto JS module to add back MD4"（Sytten）