Pass-the-Hash (PtH) saldırısı, saldırganların kullanıcı parolasını bilmeden yalnızca parola hash değerini kullanarak bir sisteme kimlik doğrulaması yapmasını sağlayan bir siber saldırı yöntemidir. Özellikle Microsoft Windows ortamlarında ve NTLM kimlik doğrulama mekanizması kullanılan ağlarda sık görülür. Bu saldırı tekniği, saldırganların ağ içinde yatay hareket etmesine (lateral movement) ve farklı sistemlere erişmesine olanak tanır.

Pass-the-Hash Nedir?

Pass-the-Hash saldırısı, bir kullanıcının gerçek parolasını ele geçirmek yerine parolanın hash değerini kullanarak kimlik doğrulaması yapma tekniğidir.

Normalde bir kullanıcı sisteme giriş yaptığında:

1. Kullanıcı parolasını girer
2. Sistem parolayı hash algoritması ile şifreler
3. Oluşan hash değeri veritabanındaki hash ile karşılaştırılır
4. Değerler eşleşirse erişim verilir

Ancak Pass-the-Hash saldırısında saldırgan:

• Parolayı kırmaya çalışmaz
• Hash değerini doğrudan kullanır
• Sisteme sanki kullanıcı giriş yapmış gibi erişebilir

Bu yüzden saldırı şifre kırmaya gerek bırakmaz.

Pass-the-Hash Saldırısı Nasıl Çalışır?

Bir Pass-the-Hash saldırısı genellikle birkaç aşamada gerçekleşir.

İlk Sistem Erişimi

Saldırgan önce ağ içinde bir makineye erişim sağlar. Bu genellikle:

• phishing saldırıları
• zararlı yazılım
• güvenlik açığı kullanımı

gibi yöntemlerle gerçekleşir.

Hash Değerlerinin Elde Edilmesi

Saldırgan, ele geçirdiği sistemde bellekte veya güvenlik veritabanlarında saklanan hash değerlerini elde etmeye çalışır.

Windows sistemlerinde bu hash değerleri genellikle:

• LSASS belleği
• SAM veritabanı
• kimlik doğrulama oturumları

gibi yerlerde bulunabilir.

Hash ile Kimlik Doğrulama

Saldırgan elde ettiği hash değerini kullanarak:

• başka bir makineye bağlanabilir
• ağ servislerine erişebilir
• yönetici hakları kazanabilir

Burada önemli nokta şudur:

Sistem parolayı değil hash değerini kontrol ettiği için, saldırgan hash ile giriş yapabilir.

Ağ İçinde Yayılma (Lateral Movement)

Bir saldırgan yönetici hesabının hash değerini elde ettiğinde:

• diğer sunuculara bağlanabilir
• domain controller’a ulaşabilir
• tüm ağı kontrol altına alabilir

Bu yüzden Pass-the-Hash saldırıları kurumsal ağlarda çok tehlikelidir.

Pass-the-Hash Neden Tehlikelidir?

Bu saldırının tehlikeli olmasının birkaç nedeni vardır:

Parola kırma gerekmez

Brute force veya sözlük saldırısı yapılmaz.

Tespit edilmesi zor olabilir

Saldırgan gerçek kullanıcı gibi görünür.

Ağ içinde hızlı yayılabilir

Tek bir yönetici hesabı ele geçirilirse tüm sistem risk altına girer.

Pass-the-Hash Saldırılarını Önleme Yöntemleri

Kurumsal ortamlarda bu saldırıyı azaltmak için çeşitli güvenlik önlemleri uygulanır.

NTLM yerine Kerberos kullanmak

Mümkün olan yerlerde modern kimlik doğrulama sistemleri tercih edilmelidir.

Local Admin haklarını sınırlandırmak

Aynı yönetici parolasının birden fazla makinede kullanılması risk oluşturur.

Credential Guard kullanmak

Windows sistemlerde kimlik bilgilerinin bellekte korunmasını sağlar.

Multi-Factor Authentication (MFA)

Hash ele geçirilse bile ikinci doğrulama faktörü saldırıyı engelleyebilir.

Ağ izleme ve log analizi

Şüpheli oturumlar ve anormal bağlantılar tespit edilmelidir.

Sonuç

Pass-the-Hash saldırıları, saldırganların gerçek parolaya ihtiyaç duymadan yalnızca hash değerlerini kullanarak sistemlere erişmesini sağlayan güçlü bir saldırı tekniğidir. Özellikle kurumsal ağlarda yanlış yapılandırılmış kimlik doğrulama sistemleri bu saldırı için uygun ortam oluşturur. Bu nedenle güçlü kimlik doğrulama yöntemleri, yetki sınırlaması ve güvenlik izleme mekanizmaları Pass-the-Hash saldırılarına karşı kritik öneme sahiptir.