NTLM（NT LAN Manager）和Net-NTLMv2 哈希都是Windows环境下用于身份验证的技术，但它们在实现和安全性方面有所不同。下面分别介绍这两个概念：

NTLM

NTLM是一种较旧的身份验证协议，用于客户端和服务器之间的身份验证。它是在没有域控制器可用时，或在不支持更安全的Kerberos协议的环境中使用的。NTLM使用一个挑战/响应机制进行身份验证，不需要明文密码传输。

NTLM认证流程大致如下：
1. 客户端向服务器发送身份验证请求。
2. 服务器回应一个挑战消息，通常是一个随机数。
3. 客户端接收挑战，并使用用户密码的哈希值对挑战进行加密，然后将该响应发送给服务器。
4. 服务器将客户端的响应与自己使用相同密码的哈希值加密的挑战结果进行比较。如果两者匹配，身份验证成功。

Net-NTLMv2 哈希

Net-NTLMv2 是NTLM协议的一个改进版本，提供了更高的安全性。它针对NTLM协议的一些安全弱点进行了改进，比如通过增加时间戳和服务器以及客户端的挑战来防止重放攻击。

Net-NTLMv2 的认证流程包括：
1. 客户端向服务器发送一个包含用户名和域名的协商消息。
2. 服务器回应一个包含服务器挑战（随机数）和其他信息（如域名和服务器名）的消息。
3. 客户端使用用户的NTLM哈希、用户名、域名、客户端和服务器的挑战以及时间戳来生成响应哈希，并将其发送给服务器。
4. 服务器验证客户端响应的有效性。如果验证成功，身份验证通过。

安全性比较

– **NTLM**：较旧，安全性较低。它容易受到某些类型的攻击，如中间人攻击和重放攻击。
– **Net-NTLMv2**：提供了更高的安全性，通过使用时间戳和双重挑战（客户端和服务器）机制来减少攻击的风险。

哈希中继攻击

哈希中继攻击（Hash Relay Attack）是一种网络攻击技术，它利用身份验证协议的弱点来未经授权地访问计算机网络或系统。这种攻击通常针对那些使用挑战/响应机制进行身份验证的协议，如NTLM（NT LAN Manager）或Kerberos等。哈希中继攻击的关键在于拦截并重新使用身份验证过程中的哈希值，而不是尝试破解哈希值本身。

工作原理

1. **拦截**：攻击者首先位于客户端（如用户的计算机）和服务器之间，拦截客户端向服务器发送的身份验证请求。这通常通过中间人攻击（MITM）实现。

2. **中继**：然后，攻击者将拦截到的身份验证请求（包括用户的哈希值）转发给另一个服务器或服务。攻击者不尝试解密或直接利用这些哈希值；相反，他们“中继”这些哈希值到另一个地方。

3. **未授权访问**：如果第二个服务器接受转发的哈希值作为有效的身份验证，那么攻击者就能以原始用户的身份访问目标系统或数据，而无需知道用户的实际密码。

防御措施

防止哈希中继攻击主要依赖于增强网络安全和使用更安全的身份验证机制：

– **使用SMB签名**：SMB签名可以帮助防止中间人攻击，因为它确保了SMB通信的完整性和真实性。
– **启用IPsec**：通过在网络层使用IP安全协议（IPsec）来加密流量，可以防止攻击者拦截和中继身份验证数据。
– **限制NTLM**：在可能的情况下，限制或禁用NTLM认证，改用更安全的Kerberos认证。
– **使用扩展保护**：一些服务如Microsoft的AD DS（Active Directory Domain Services）提供了扩展的保护机制，如扩展保护认证协议，可以防止中继攻击。
– **监控和响应**：通过监控网络活动和异常登录尝试，组织可以及时发现并响应潜在的中继攻击。

哈希中继攻击揭示了某些身份验证协议中的安全漏洞，通过采用适当的安全措施和协议可以有效地减少这类攻击的风险。