NTLM挑战模式散列认证加密协议过程，算法实现与一些想法
创建时间：2003-05-28
文章属性：原创
文章提交：flashsky (flashsky1_at_sina.com)
NTLM挑战模式散列认证加密协议过程，算法实现与一些想法
转摘请注明作者和安全焦点
作者：FLASHSKY
SITE：WWW.XFOCUS.NET，WWW.SHOPSKY.COM
邮件：flashsky@xfocus.org
作者单位：启明星辰积极防御实验室
说明：
本来先从看见小四的《LM/NTLM验证机制》就没准备发的，但是从如下几点考虑还是发：
1。给出完全的算法实现代码
2。小四的关于NTLM，LM的过程针对返回会话KEY的有效，针对完全挑战模式下说明并非完全
3。一些新的思路和思考
4。安全BLOB的结构说明
一：NTLM认证算法过程
1。客户端申请挑战
安全BLOB的结构如下：
{
CHAR DESC[8]=“NTLMSSP”；
DWORD NO=1； //顺序号
DWORD FLAG；
WORD DOMAINNAMELEN； //域名长度
WORD DOMAINNAMEMAXLEN；//域名最大长度
DWORD DOMAINNAMEOFFSET；//域名便移
WORD HOSTNAMELEN； //主机名长度
WORD HOSTNAMEMAXLEN； //主机名最大长度
DWORD HOSTNAMEOFFSET； //主机名便移
CHAR HOSTNAME[HOSTNAMELEN]；//主机名
CHAR DOMAINNAME[DOMAINNAMELEN]；//域名
}
2。服务器返回挑战，这个挑战是一个8字节的随机数
安全BLOB的结构如下：
{
CHAR DESC[8]=“NTLMSSP”；
DWORD NO=2； //顺序号，必须为2
WORD DOMAINNAMELEN； //帐户域名长度
WORD DOMAINNAMEMAXLEN； //帐户域名最大长度
DWORD DOMAINNAMEOFFSET；////帐户域名偏移
DWORD FLAG；
BYTE CHALLAGE[8]； //8字节挑战
BYTE RE[8]； //保留8字节，必须为0
WORD HOSTNAMELISTLEN； //主机名列表长度
WORD HOSTNAMELISTMAXLEN；//主机名列表最大长度
DWORD HOSTNAMELISTOFFSET；//主机名列表偏移
CHAR DOMAINNAME[DOMAINNAMELEN]；
CHAR HOSTLISTNAME[HOSTNAMELISTLEN]；
//这里是多个结构组成
//每个结构如下：
//WORD ITEMNO；索引
//WORD HOSTNAMELEN；主机名长度
//BYTE HOSTNAME[HOSTNAMELEN]：主机名
}
3。客户端加密密码散列
其实这个过程还是很复杂的
如果是明文口令，先将此口令转化成散列，如果是系统用户则直接根据令牌从SESSION表中取出散列。
这下面就是小四的文章中没提到的过程
客户端先生成一个随机KEY，然后和服务器端的挑战使用MD5算法生成16字节的散列，但MS只取前8字节做为加密KEY，其实后面的散列加密并非是使用挑战直接加密的，而是
使用此加密KEY进行加密的。
这个算法的代码如下：romkey就是客户端生成的一个随机KEY，challage就是服务器挑战
void challagetorkey(unsigned char * romkey,unsigned char * challage,unsigned char * enkey)
{
unsigned char LM[0x58];
md5init(LM);
*(DWORD *)LM=0x200;
memcpy(LM+0X18,challage,8);
memcpy(LM+0X20,romkey,8);
*(DWORD *)(LM+0x28)=0x80;
*(DWORD *)(LM+0x50)=0x80;
md5final(LM);
memcpy(enkey,LM+8,8);
}
然后再使用生成的加密KEY加密MD4生成的NTLM散列，具体的过程在下四的文章中有详细介绍，这里就不再讲了，后面给出了完全实现的代码。
同时还会先选择一个RC4的KEY，对MD4生成的NTLM散列用MD4再生成一个散列，再用HMACMD5算法，加密KEY，这个散列计算出一个0X10字节的散
列，用此散列和rc4_key函数生成rc4的key表，最后用这个KEY表和先选择的RC4的KEY生成一个0X10字节的RC的结果出来。
但要注意的是：通常情况下，这个RC4的结果并没用于认证。
安全BLOB的结构如下：
{
CHAR DESC[8]=“NTLMSSP”；
DWORD NO=3； //顺序号，必须为3
WORD RANDOMKEYLEN； //客户端随机KEY长度，固定为0X18
WORD RANDOMKEYMAXLEN； //客户端随机KEY最大长度，固定为0X18
//其实客户端随机KEY只有8字节，但是后面补0添满0X18字节
DWORD RANDOMKEYOFFSET；////客户端随机KEY偏移
WORD ENNTLMLEN； //加密的NTLM散列长度，固定为0X18
WORD ENNTLMMAXLEN； //加密的NTLM散列最大长度，固定为0X18
DWORD ENNTLMOFFSET； //加密的NTLM散列偏移
WORD HOSTNAMELEN； //主机名长度
WORD HOSTNAMEMAXLEN；//主机名最大长度
DWORD HOSTNAMEOFFSET；//主机名偏移
WORD USERNAMELEN； //用户名长度
WORD USERNAMEMAXLEN；//用户名最大长度
DWORD USERNAMEOFFSET；//用户名偏移
WORD USERDOMAINLEN； //帐户域名长度
WORD USERDOMAINMAXLEN；//帐户域名最大长度
DWORD USERDOMAINOFFSET；//帐户域名偏移
WORD ENNTLMRC4LEN； //加密的RC4 NTLM散列长度，固定为0X10
WORD ENNTLMRC4MAXLEN； //加密的RC4 NTLM散列最大长度，固定为0X10
DWORD ENNTLMRC4OFFSET； //加密的RC4 NTLM散列偏移
DWORD FLAG；
CHAR HOSTNAME[HOSTNAMELEN]；//主机名
CHAR USERNAME[HOSTNAMELEN]；//用户名
CHAR USERDOMAINNAME[HOSTNAMELEN]；//帐户域名
RANDOMKEY[0X18]；//其实客户端随机KEY只有8字节，但是后面补0添满0X18字节
ENNTLM[0X18]；
ENRC4NTLM[0X10]；
}
4。服务器认证
服务器获得客户端随即KEY以后，也和挑战运算获得此加密KEY，然后计算加密的NTLM散列做对比进行判断。
5。一些思考
主要是关于重放攻击的，其实真正的加密KEY是挑战和客户端随机KEY做MD5运算的结果，那么如果我们嗅探出了一个挑战，随机KEY就
能计算出加密KEY，如果我们发起一个请求获得一个挑战2，如果能计算一个随即KEY2（这个可由我们自己控制），满足MD5（挑战2，随即KEY2）
=加密KEY，那么我们就能发送我们修探获得的安全BLOB中的加密散列的内容来获得认证。
当然MD5的算法本事就是要防碰撞的，但是在MS的SMB实现中，由于MD5生成的是16字节的散列，但是用来做加密KEY的只是前8个字节，那
么对于寻找只满足部分（前8字节）碰撞的算法复杂度就会大大的降低，当然我们在MD5中唯一能控制的东西就是随即KEY，但是挑战KEY已知，其实
针对加密算发是常量（因为加密内容固定为0X1O字节，其他的内容可以常量），应该来说还是很有希望的。不过就我的数学水平而已，尝试了
一下就被难到了，希望对MD5碰撞有研究的人给予指教。下面就是给出的一个针对其挑战，随即KEY到加密KEY的替代函数：
void challagetorkey(unsigned long c1,unsigned long c2,unsigned long r1,unsigned long r2)
{
//我们把挑战看做2个unsigned long的数C1,C2，客户端随即KEY也看做2个unsigned long的数R1,R2
//最后生成的是B1，D1，S1，D2，但其实用做加密KEY的只是B1，D1而已
//如果我们知道B1，D1，C1，C2，是否能找过一个R1，R2，使得满足这个函数呢？
//按照概率是针对每个B1，D1都有可能找到对应的R1，R2，因为MD5的算发要求是每个字节的变化都应该平均分布的
//我们可控的是256的8次方，结果也是256的8次方
//即使不是完全平均分布的，在测试100个挑战中总会有满足的吧？
//而算法复杂度对于16字节的256的16次方应该降低了不少
//那么再退一步说，如果我们知道B1，D1，C1，C2，R1，如果能解出R2也行，我们对R1实行穷举
//R1是256的4次方，4亿左右的穷举对现在的机器不应该是负担吧？当然真正实现工具由于认证要求，可能要求在10分钟以内
//但是如果我们在2天内能找到结果，也能说明很多问题
DWORD a1,d1,d2,s1;
DWORD b1;
b1=(((0x10325476^0x98badcfe)&0xefcdab89)^0x10325476)+c1;
b1=b1+0x67452301+0xd76aa478;
b1=((b1<<0x7)|(b1>>0x19))+0xefcdab89;
//第一轮
a1=(((0x98badcfe^0xefcdab89)&b1)^0x98badcfe)+0xe8c7b756;
d2=0x10325476+c2+a1;
d2=((d2<<0xc)|(d2>>0x14))+b1;
a1=(((0xefcdab89^b1)&d2)^0xefcdab89)+0x242070db;
s1=0x98badcfe+r1+a1;
s1=((s1<<0x11)|(s1>>0xf))+d2;
a1=(((d2^b1)&s1)^b1)+0xc1bdceee;
d1=0xefcdab89+r2+a1;
d1=((d1<<0x16)|(d1>>0xa))+s1;
a1=(((d2^s1)&d1)^d2)+0xf57c0faf;
b1=b1+0x80+a1;
b1=((b1<<0x7)|(b1>>0x19))+d1;
a1=(((s1^d1)&b1)^s1)+0x4787C62A;
d2=d2+a1;
d2=((d2<<0xc)|(d2>>0x14))+b1;
a1=(((d1^b1)&d2)^d1)+0xA8304613;
s1=s1+a1;
s1=((s1<<0x11)|(s1>>0xf))+d2;
a1=(((d2^b1)&s1)^b1)+0xFD469501;
d1=d1+a1;
d1=((d1<<0x16)|(d1>>0xa))+s1;
a1=(((d2^s1)&d1)^d2)+0x698098D8;
b1=b1+a1;
b1=((b1<<0x7)|(b1>>0x19))+d1;
a1=(((s1^d1)&b1)^s1)+0x8B44F7AF;
d2=d2+a1;
d2=((d2<<0xc)|(d2>>0x14))+b1;
a1=(((d1^b1)&d2)^d1)+0xFFFF5BB1;
s1=s1+a1;
s1=((s1<<0x11)|(s1>>0xf))+d2;
a1=(((d2^b1)&s1)^b1)+0x895CD7BE;
d1=d1+a1;
d1=((d1<<0x16)|(d1>>0xa))+s1;
a1=(((d2^s1)&d1)^d2)+0x6B901122;
b1=b1+a1;
b1=((b1<<0x7)|(b1>>0x19))+d1;
a1=(((s1^d1)&b1)^s1)+0xFD987193;
d2=d2+a1;
d2=((d2<<0xc)|(d2>>0x14))+b1;
a1=(((d1^b1)&d2)^d1)+0xA679438E;
s1=s1+0x8
