从NTLM消息中获取域信息
我使用带有Chrome/Windows//Node.js的NTLM登录网页。它可以工作，但我有一个关于NTLM消息中的响应数据的问题，这些数据似乎没有在RFC 或者我唯一能找到的"rfc“类型的东西中涵盖。
使用express-ntlm这个软件包正确地提取用户名，工作站和域名，但我也看到一些额外的信息，将得到我的完整域名，如foo.bar.com，这将是真正有用的我。
此响应消息的类型为3，其中包含如上所述的内容，但它似乎包含一些额外的信息，这些信息似乎没有解析规则，例如如何找到字节偏移量或数据长度。我想知道它是否真的不是RFC的一部分，只是一些我无法依赖的随机数据。
以下是在服务器端接收到NTLM消息以完成授权时的样子。我正在用一些假域名替换实际数据。每个字母之间都有一个空格，这也是很奇怪的。
NTLMSSP X
z <╗ ║��� �D���╔═ ╝ ╗ 0 0 0 ╗\���85=�E+z[�Rwȗ��O�1���t6]。I‘.com╚F O O.酒吧。I‘.C o m║0 b a r.I‘.c m� �+�I8�+fy��q�。H T T P/10。11.12.2.3 3 3:3 0 0 0
基本上，您有NTLMSSP，在所有奇怪的字符中，您有域名、工作站和用户名。然后似乎有关于整个域名和请求来源的补充数据。但我还是没看到这东西在任何地方都有。它可靠吗？有办法提取吗？
回答 1
Stack Overflow用户
发布于 2021-10-09 12:40:41
*服务器端接收到的NTLM SSP握手消息是用于二进制编码的UTF-8消息的空终止ASCII字符串，由于该消息在Windows系统中不可见并显示符号。要从这条NTLM SSP消息中解码和提取信息，您可以使用github脚本“NTLMRaw unhide”实现此目的。
您在服务器端接收到的NTLM SSP消息是从客户端发送到服务器的第2类挑战。要从NTLM SSP消息中提取可信的信息，您必须通过“netsh.exe”和“pktmon.exe”工具捕获信息和网络流量，并在不进行转换的情况下导出它们。这些导出的流量监控文件在windows系统上被捕获为“.etl”文件。
·您必须以“NTLMRawUnhide.py”python3脚本解析这些网络数据包捕获文件，并以可读的格式提取NTLMv2哈希。下面是github存储库到NTLMRawUnhide.py脚本的链接：-
https://github.com/mlgualtieri/NTLMRawUnHide
https://www.mike-gualtieri.com/posts/live-off-the-land-and-crack-the-ntlmssp-protocol
另外，下面是数据包捕获的输出图像：-
https://stackoverflow.com/questions/69468284
复制相似问题
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号