windows认证机制

本文参考Windows认证及抓密码总结

当前windows的认证机制主要有两种，一种是ntlm认证，另一种是kerberos。还有一种成为ACCESS TOKEN也起到权限认证的作用，这个token主要是用来标识用户与程序之间的所属关系的。当用户登录后会生成一个access token，当前用户打开的每一个进程都拥有一份这个access token的拷贝，这也是为什么用户b不能处理用户a打开的进程的原因

一、NTLM认证

1.1 NTLM本地认证

当用户注销登录后，操作系统会调用winlogon.exe程序，也就是我们看到的登录界面，当我们输入用户名密码之后，该进程会将我们的用户名密码交给lsass.exe进程，该进程会将我们的用户名密码进行hash变换得到ntlm hash，并存储一份明文密码，然后同windows的sam数据库进行对比，如果对比成功，则登录成功，否则登录失败。因为存在明文密码，所以我们可以在lsass进程中将该密文提取出来，常用的提取工具是mimikatz与msf。
ntlm是怎么得到的呢，首先将我们的用户名密码进行16进制变化，然后进行unicode变换，通过md4摘要得到ntlm hash

123456 -> hex(16进制编码) = 313233343536
313233343536 -> Unicode