擺脫PTH陰影

■山東 趙永華

PTH，全 稱Pass-thehash，意為雜湊值注入，常見的攻擊方式是透過竊取的密碼雜湊值取得，采用了著名的哈希傳遞算法，讓常規的黑客檢測工具一籌莫展，無法破解。

PTH成因

PTH所需條件幾乎為零，無論系統版本如何，從Server 2008到2012甚至更高都難以阻止，它得逞的要求僅僅是能夠像本地管理員那樣訪問Windows機器，僅此而已！所以，PTH的得手，并不是管理員的用戶密碼策略設置不夠強，也不是系統的OS不夠新。同時，PTH往往更容易出現在那些具有完善管理模式的單位里，因為具有良好技術修煉的管理員們人人都習慣去配置系統，配置是他們的工作需要，也是他們敬業的表現，但正因為如此，為PTH打開了長驅直入的通道。

那么我們如何才能擺脫PTH的威脅呢？

勿將本地管理員密碼設置為相同

為圖省事，將本地管理員賬號和密碼一次性設置為一樣是司空見慣的作法，卻不知如此正中PTH 下懷。因為PTH 只要一次性擊破本地管理員，那么它就可以在系統內如魚得水。對此，有一些可以隨機生成本地管理員密碼的工具。

再次重申不要輕易使用管理員賬戶，尤其是Administrator。比如你只是瀏覽一下網頁，那就作為普通用戶完全可以；如果要在活動目錄內執行任務如修改組成員關系，也只要具有相應權限即可。

取消本地管理員權限

既然PTH 最看重的是本地管理員權限，那么我們就干脆取消掉它。你這么做一定會讓PTH 感到沮喪，但別忘了PTH具有超強耐心，它依然會等待下一個時機。為此，需將位于本地管理員組內的用戶移出，它們涉及三種對象：一種是本地SAM的本地用戶賬戶，第二種是具有成員關系的域用戶賬戶，第三種是與該域具有成員關系的域內組賬戶。

一般而言，我們只需要移動域用戶，因為在多數機構中這些用戶正是具有本地管理權限，為此通過組策略對象GPO設置完成。該設置屬于動態型，它并不關心用戶名，注重的是登錄成功的用戶。具體設置項目為User ConfigurationPreferencesControl Panel SettingsLocal Users and Groups。

我們可以看到，該組名為Administrators，可以操作其中的按鈕Remove the Current User 。如果取消本地管理員權限無法完全施行，可以考慮將每個管理員用戶的密碼設置為較為安全的密碼（很長，很強，很復雜），而且密碼應當經常修改，從而減少PTH 攻擊幾率。其配置項為Computer ConfigurationPreferencesControl Panel SettingsLocal Users and Groups。