Pass the Hash と NTLM 認証の流れ

NTLM認証概要

Client は、 Negotiate 認証トークンをサーバーに送信する
Negotiate 認証トークンを受信した Server は、Challenge 値を生成し、Challenge 認証トークンとして Client に返送する
Client は、ユーザの NTHash 値（SSPI security token）を用いて　Authenticate 認証トークンを生成してサーバに送信する
Server は、Challenge 値と Authenticate 認証トークンを用いて、ドメインコントローラに検証を依頼する
ドメインコントローラでの検証されれば Access Token が作成される

NTLM FLOW

SMB Service が Negotiate を受信
SMB Service が AcceptSecurityContext を呼び出し、Negotiate メッセージを渡す
Server LSA が Challenge メッセージ（NegotiateFlagsが含まれる）を作成
- ServerChallenge: 8バイトのランダムnonce
- NegotiateFlags: Client と Server で共通する機能のフラグ
- TargetInfo: 対象の詳細（ComputerName, DomainName など）
Server LSA は、ServerChallenge を自身のメモリに保持する
Challenge メッセージが AcceptSecurityContext から出力され、SMB Service から Client へ返る

Client SMB が Challenge 受信
SMB が InitializeSecurityContext を呼び出し、Challenge メッセージを渡す
Client LSA の msv1_0.dll が NTLMv2 response を計算
- Blob: ClientChallenge や Timestamp、TargetInfo など
- NTProofStr: NTProofStr = HMAC_MD5(NTLMv2_Hash, ServerChallenge ‖ Blob)
Client SLA が Authenticate メッセージ(NTLMv2 Responseなどを含む)を作成
SMB Client からサーバへ送信される

Server SMB が Authenticate メッセージを受信し AcceptSercurityContext に渡す
Server LSA が Authenticate メッセージ内の情報を見て、ドメインアカウントか、ローカルアカウントかを判定
ドメインアカウントであれば、Server LSA が Netlogon Service(netlogon.dll) を呼び出す
Netlogon が NetrLogonSamLogonEx RPC を DC に対して行う
- NTLMv2 response の内容等含む
DC の Netlogon Service が RPCを受信し、DC LSA 認証要求を行う
DC LSA が AD Database(NTDS.dit) からユーザの NTHash を取り出す
DC 側で、ClientがAuthenticateメッセージを計算したように計算を同様に行う
一致していることを確認し、DC はNTDS.ditからユーザのPAC情報（SID, 特権等）や UserSessionKey 等の Server への返り値を作る
DC が Netlogon RPC を通じて返り値を Server に送る

Client がログインじに生成したNTHash を持っていることから、Response を計算してAuthenticate を作成する際に当該のClientである必要がないそのため、Serverのサービスの利用が可能になる。