缓存的 Windows 凭据如何存储在本地计算机上？

Question

缓存的 Active Directory 域凭据如何存储在 Windows 客户端上？它们是否存储在本地 SAM 数据库中，从而使它们容易受到与本地用户帐户相同的彩虹表攻击，或者它们的存储方式不同？请注意，我确实意识到它们被加盐和散列，以便不以纯文本形式存储，但是它们是否以与本地帐户相同的方式散列并且它们存储在同一位置？

我意识到至少他们很容易受到蛮力攻击，但这比在机器被盗时容易受到彩虹表的攻击要好得多。

Answer 1

“缓存凭据”

AD 域的缓存凭据实际上是密码的加盐双哈希值，并存储在 HKLM\Security 配置单元中。hive的文件位置是： %systemroot%\System32\config\SECURITY

只有“系统”用户可以访问注册表项：
HKLM\Security\Cache\NL$n其中n是缓存凭据最大数量的索引 1。

易受攻击

WinNT 到 WinXP 使用本地帐户的“Lan Manager”哈希，这在现代硬件上很容易被破坏。破解通常需要几分钟（我最近在 00:08:06 做了 3 个密码），只需一台“普通”台式电脑。Lan Manager 哈希没有加盐，因此也有公开可用的彩虹表。

Vista 和更高版本对本地帐户使用 NT 哈希。Windows 2000 和更高版本也对域帐户使用 NT 哈希。NT 哈希是加盐的双 MD4 哈希。per-entry salt 阻止使用彩虹表，但 MD4 可以在现代硬件上非常快地执行：60 位密码大约需要 6 个计算年。幸运的是，如果有 6 个 GPU 集群，破解者可以在大约 6 个月内破解此类密码。将其带到云中，在 Amazon EC2 GPU 上大约 35,000 美元 - 根据可用性，可能需要几个小时。