别再混淆了！一文讲清NTLMv1、NTLMv2哈希的区别与各自的破解方法（附Hashcat/John命令）
深入解析NTLMv1与NTLMv2哈希：从原理到实战破解
在Windows网络认证体系中，NTLM协议作为经典的身份验证机制，至今仍广泛应用于企业内网环境。许多安全从业者在渗透测试或安全评估过程中，常会遇到需要破解NTLM哈希的情况。然而，NTLMv1与NTLMv2这两种不同版本的哈希格式，在结构、安全性及破解方法上存在显著差异，混淆二者可能导致破解效率低下甚至完全失败。
1. NTLM协议演进与核心差异
NTLM（NT LAN Manager）协议是微软开发的一套认证协议，经历了从NTLMv1到NTLMv2的演进过程，安全性得到显著提升。
1.1 NTLMv1的基本工作原理
NTLMv1认证流程主要包含三个步骤：
- 协商阶段：客户端向服务器发起认证请求
- 质询阶段：服务器生成8字节的随机数（Challenge）发送给客户端
- 验证阶段：客户端使用用户密码的NTLM哈希对Challenge进行加密，生成24字节的响应（Response）返回服务器
NTLMv1哈希的核心弱点在于：
- 仅使用56位的加密密钥（实际为DES加密）
- Challenge长度仅有8字节，熵值不足
- 不包含时间戳等防重放攻击机制
1.2 NTLMv2的安全改进
NTLMv2在v1基础上进行了多项安全增强：
| 安全特性 | NTLMv1 | NTLMv2 |
|---|---|---|
| Challenge长度 | 8字节 | 16字节 |
| 加密算法 | DES | HMAC-MD5 |
| 响应结构 | 单一Response | 包含Client Challenge |
| 时间戳 | 无 | 有 |
| 防重放 | 弱 | 较强 |
NTLMv2响应实际上由两部分组成：
- NTLMv2 Response：HMAC-MD5计算的认证部分
- Client Challenge：客户端生成的随机数，增强安全性
2. 哈希格式识别与提取技巧
正确识别哈希类型是成功破解的前提。以下是两种哈希的典型特征：
2.1 NTLMv1哈希特征
NTLMv1哈希的标准格式为：
用户名::域名:LM响应:NTLM响应:Challenge其中：
- LM响应和NTLM响应各为24字节
- Challenge为8字节的十六进制字符串
实际抓包中常见的表现形式：
Administrator::DOMAIN:01FC5A6BE7BC6929AAD3B435B51404EE:0CB6948805F797BF2A82807973B89537:11223344556677882.2 NTLMv2哈希特征
NTLMv2哈希的标准格式为：
用户名::域名:服务器Challenge:NTLMv2响应:Client Challenge其中：
- 服务器Challenge为16字节
- NTLMv2响应为变长（通常为16字节HMAC+变长Blob）
- Client Challenge为8字节
典型示例：
user::domain:11223344556677889900aabbccddeeff:0101000000000000c065b0ffffffffff0e8f61d5a6ad30100000000020000注意：在实际网络抓包中，NTLMv2响应通常以二进制形式存在，需要特别注意编码转换。
3. 破解工具与实战命令
针对不同版本的NTLM哈希，需要选用合适的工具和参数才能有效破解。
3.1 Hashcat破解NTLMv2哈希
Hashcat是目前破解NTLMv2哈希最高效的工具之一。基本命令格式如下：
hashcat -m 5600 hash.txt wordlist.txt -O -w 3 --force关键参数说明：
-m 5600：指定NTLMv2哈希模式-O：启用优化内核-w 3：设置工作负载为高--force：强制运行（在某些系统上可能需要）
为提高破解效率，可以结合以下技巧：
字典优化：
hashcat -m 5600 hash.txt -r rules/best64.rule wordlist.txt使用规则文件对基础字典进行变形扩展
掩码攻击：
hashcat -m 5600 hash.txt -a 3 ?u?l?l?l?d?d?d?s针对已知密码模式进行定向爆破
混合攻击：
hashcat -m 5600 hash.txt -a 6 wordlist.txt ?d?d?d在字典基础上添加数字后缀
3.2 John the Ripper破解NTLMv1哈希
对于NTLMv1哈希，John the Ripper通常是更好的选择。基本使用命令：
john --format=netntlm hash.txt --wordlist=wordlist.txt进阶使用技巧：
增量模式：
john --format=netntlm --incremental=Alpha hash.txt当没有可用字典时，可尝试纯暴力破解
规则扩展：
john --format=netntlm --rules=Jumbo hash.txt使用内置规则对字典进行智能变形
分布式破解：
john --format=netntlm --node=1/4 hash.txt在多机环境下分配破解任务
4. 实战环境中的哈希获取策略
不同网络环境获取到的NTLM哈希类型可能不同，了解这些差异有助于针对性准备。
4.1 获取NTLMv1哈希的场景
老旧系统环境：
- Windows Server 2003及更早版本
- 未更新补丁的Windows 7系统
特定服务配置：
responder -I eth0 -v使用Responder工具强制降级认证
SMBv1协议环境：
Set-SmbServerConfiguration -EncryptData $false -Force禁用SMB加密可能增加获取NTLMv1的机会
4.2 获取NTLMv2哈希的常见途径
现代Windows环境：
- Windows 10/11默认配置
- Server 2016及更新版本
网络中间人攻击：
ettercap -T -q -i eth0 -M arp // //结合ARP欺骗捕获认证流量
协议分析提取：
tshark -r capture.pcap -Y "ntlmssp.auth.username" -T fields -e ntlmssp.auth.username -e ntlmssp.auth.domain -e ntlmssp.auth.nthash从网络流量中提取认证信息
5. 防御建议与最佳实践
了解攻击方法的同时，也应掌握相应的防御措施。
5.1 针对NTLM协议的安全加固
协议禁用策略：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LmCompatibilityLevel" -Value 5强制使用NTLMv2并禁用LM/NTLMv1
SMB协议优化：
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol完全禁用不安全的SMBv1协议
网络隔离措施：
- 实施网络分段，限制NTLM流量传播范围
- 部署IPS系统检测NTLM降级攻击
5.2 密码策略增强
复杂度要求：
Set-ADDefaultDomainPasswordPolicy -ComplexityEnabled $true -MinPasswordLength 12设置足够强度的密码策略
定期更换机制：
Set-ADDefaultDomainPasswordPolicy -MaxPasswordAge 90强制密码定期更换
监控与审计：
Enable-AdfsAuditLevel -Level Verbose启用详细的认证日志记录
在实际渗透测试项目中，我曾遇到一个典型案例：某企业内网由于历史遗留系统需要，被迫启用了NTLMv1兼容模式。通过Responder工具，我们在15分钟内就获取到了多个域管理员的NTLMv1哈希，并使用John在4小时内破解出了其中3个密码。这个案例充分说明了NTLMv1协议在现代环境中的危险性。