HashSiphon

HashSiphon 通过 HTTP 层身份验证代理提取 NTLM 哈希，攻击者进程零 SSPI 调用。 HashSiphon 通过操纵 HTTP 身份验证流程而非直接调用 SSPI API 来提取当前用户的 NetNTLMv2 哈希。它提供两个变体：v1 在同一进程内通过 .NET 的 HTTP 栈路由 NTLM 身份验证，v2 将身份验证完全委托给不同 PID 中的 BITS 服务（svchost.exe），从而彻底打破进程级归因。 为什么这很重要 所有已知的 NTLM 哈希自提取工具 Internal Monologue、手动 SSPI 脚本及其衍生工具都会从攻击者自己的进程调用...