Pass-the-Hash on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Lateral Movement in Active Directory: Tecniche, Tool e OPSEC

Wed, 15 Jul 2026 00:00:00 +0000

Lateral Movement in Active Directory: Tecniche, Protocolli e Detection #

Il lateral movement è la fase di post-exploitation in cui si usa una credenziale compromessa — hash NTLM, ticket Kerberos, o password in chiaro — per autenticarsi su altri host del dominio ed eseguire comandi. Ogni tecnica usa protocolli diversi, lascia artefatti diversi, e richiede prerequisiti diversi.

Ottenere un foothold su un host è solo l’inizio. In un ambiente Active Directory enterprise, il valore reale sta negli host successivi — il file server, il DC, la workstation dell’amministratore. Il lateral movement è il processo con cui si usa ciò che si ha (hash, ticket, password) per raggiungere ciò che si vuole.

NTLM: Protocollo, Hash Capture, Pass-the-Hash e Relay su Active Directory

Wed, 17 Jun 2026 00:00:00 +0000

NTLM: Protocollo, Attacchi e Sfruttamento in Ambienti Active Directory #

NTLM è uno dei protocolli di autenticazione più sfruttati nei penetration test su ambienti Windows. Microsoft lo sta deprecando ufficialmente — eppure nel 2025 CVE-2025-24054 è stata attivamente sfruttata in campagne reali giorni dopo il patch. In ambienti enterprise ibridi NTLM è ancora ovunque: SMB, HTTP, LDAP, RPC, WinRM.

Capire NTLM a fondo non è un esercizio accademico — è prerequisito per sfruttare NTLM Relay, Pass-the-Hash, coercizione AD, e la chain relay→ADCS→Domain Admin che funziona nella maggior parte degli ambienti enterprise non patchati.

Porta 5985 WinRM: Evil-WinRM, Pass-the-Hash e PowerShell Remoting

Wed, 11 Mar 2026 00:00:00 +0000

WinRM (Windows Remote Management) è l’implementazione Microsoft del protocollo WS-Management per l’amministrazione remota. Ascolta sulla porta 5985 TCP (HTTP) e sulla porta 5986 (HTTPS). Nel penetration testing di ambienti Active Directory, WinRM è spesso la porta più importante dopo SMB: permette l’esecuzione remota di comandi PowerShell, supporta Pass-the-Hash per autenticazione senza password in chiaro e, a differenza di RDP, è una shell non interattiva che non disturba l’utente connesso al desktop — perfetta per operazioni stealth. Evil-WinRM, lo strumento più usato per accedere a WinRM, è diventato uno standard de facto nella metodologia OSCP e nei red team engagement.