【横展開編】Pass-the-Hash／Pass-the-Ticket／PsExec・WMIで広がる侵入｜CTF思考フレームワーク #37

広告・PRを含みます。この記事にはアフィリエイトリンクが含まれます。掲載内容は編集方針に基づいて作成していますが、価格・在庫・キャンペーン内容はリンク先で最新情報を確認してください。

横展開（ラテラルムーブメント）って、攻撃者が社内を歩き回るってこと？

そうです。初期侵入したPC1台から、AD認証情報・SMB共有・WMI・PowerShell Remoting を経由して、他のPC・サーバーへ自由に移動。Pass-the-Hash・Pass-the-Ticket・PsExec を使えば、パスワードを知らなくてもログインできます。

横展開（Lateral Movement）は、企業侵害の最重要フェーズ。1台の感染PCから、組織内の数百〜数千台へ広がるのは数時間。Pass-the-Hash、Pass-the-Ticket、Golden Ticket、Silver Ticket――これらは現役のテクニックで、APT・ランサムウェアグループが日常的に使います。

1台感染しただけで全社侵されるって、ほんと怖い…

この記事は、CTF思考フレームワーク第37回。横展開の代表的手口（Pass-the-Hash・Pass-the-Ticket・PsExec・WMI・PowerShell Remoting）と、企業の検知・防御策（NTLM無効化・LAPS・分離・EDR）を整理します。

🌐 ローカルで権限を取れたら、次の合言葉は「横展開」。1台の掌握から、ファイルサーバ・ジャンプホスト・ドメインコントローラへと侵入面を拡げていくフェーズです。

Lateral Movementの王道は、Pass-the-Hash／Pass-the-Ticket／PsExec／WMI／WinRM。どれも正規プロトコルに乗るので、ログだけ見ていると正規運用と区別がつかないのが怖いところです。

横展開はPtH/PtT/PsExec/WMIの組み合わせ。鍵さえあれば全社的に広がっていくんだ🔁

👀 観察フェーズ：まず何を見る？

まず資格情報の質と範囲を観察！ローカル管理者？ドメインユーザ？SPN持ち？で次の一手が決まる🔍

横展開の前に、攻撃者は「どこに横展開できるか」を測ります。手元のセッションで使える資格情報、開いているSMB/RPC/WinRM、信頼関係のあるドメインを把握するのが起点。

権限関係をグラフで見ると「Domain Admins まで4ホップ」みたいなのが浮かび上がるんだね😨

• net session / quser で他端末からの接続状況
• BloodHound でACL・グループ関係・最短攻撃パスを可視化
• ポート 445(SMB) / 135(RPC) / 5985(WinRM) / 3389(RDP) の開放状況
• KerberoastableなSPNと、ASREP-roastableなアカウント
• ドメイン信頼関係（forest内の他ドメイン、外部信頼）
• SMB SigningとLDAP Channel Bindingの設定（リレー耐性）

横展開の典型は4手法。

🤔 仮説フェーズ：攻撃者は何を考える？

🪪 仮説①：Pass-the-Hash(PtH)

NTLMハッシュをそのままSMB/RPC認証に使い、パスワードを知らずに別マシンに認証。最古のテクで今も主役。

🎫 仮説②：Pass-the-Ticket(PtT)

Kerberos TGT/TGSをメモリから抜いてkerberos::pttで再利用し、他端末にKerberos認証。

🛠️ 仮説③：PsExec / WMI / WinRM

管理者資格情報があればpsexec.pyやwmiexec.pyで遠隔コマンド実行。EDRに引っかかりやすいので攻撃者は派生形を使う。

🥇 仮説④：Golden / Silver Ticket

krbtgtやサービスアカウントのハッシュから永続的なKerberosチケットを偽造。検知が極めて困難。

🕶️ 攻撃者は「平文パスワードがあるならそれで十分。ハッシュしかなければPtH、Kerberosが使える環境ならPtTで気配を消す」と段取りします。検知が厳しい場合は、SMB→Admin$→PsExec の派手な手口は避けて、WMI Event Subscription や DCOM、scheduled task経由の静かな実行に切り替えます。

横展開は「正規プロトコルの悪用」だから、ログを見ないと気づけないんだね💧

🔬 検証フェーズ：どうやって確かめる？

検証は隔離ラボのADで。impacket-secretsdump→impacket-psexecの流れが横展開の最短コースです🧪

安全な検証ラボで、各手口の通信パターンとログを観察します。PtHはNTLM認証のChallenge/Responseがそのまま残り、PtTはTGSリクエストのEncryption Type（RC4=0x17）が決め手になります。

BloodhoundのCypherクエリで「Owned→Domain Admins」の最短パスが出るのが恐ろしい😱

# 検証用：ラボのDCに対して
# 1) Pass-the-Hash（impacket）
impacket-psexec -hashes :NTLM_HASH user@target

# 2) Pass-the-Ticket（mimikatz）
kerberos::ptt ticket.kirbi
klist  # チケット注入確認

# 3) WMI実行（PsExecより静か）
impacket-wmiexec user@target -hashes :NTLM_HASH

横展開実行の本命はこの3つ。

⚔️ 攻撃フェーズ：実際の手口

PtHは NTLM のままサーバ認証を突破。PtTは事前に取ったSilver Ticket（サービス単位）かGolden Ticket（KRBTGT必須）でドメイン全体を乗っ取り。

# Silver Ticket（特定サービスのみ偽造）
mimikatz # kerberos::golden /sid:S-1-5-21-... /target:fileserver.corp.local /service:cifs /rc4:NTLM /user:Admin /ptt

# Golden Ticket（KRBTGTハッシュ必須・10年TTL）
mimikatz # kerberos::golden /domain:corp.local /sid:S-1-5-21-... /krbtgt:KRBTGT_HASH /user:Administrator /id:500 /ptt

NTLMリレー（ntlmrelayx）も忘れずに。SMB Signingが無効ならコーヒーブレイク中に管理者を釣れます☕

横展開対策の3レイヤー！🛡️

🛡️ 防御フェーズ：どう守る？

「1台陥落=全社陥落」を成立させない設計が、横展開対策の本質だね💪

横展開対策の三本柱は「資格情報の分離」「プロトコルの締め付け」「ティアモデル」。Tier 0/1/2 を厳格に分け、管理者アカウントを下位階層に降ろさないのが鉄則です。

• SMB Signing必須＋LDAP Channel Bindingでリレー封じ
• Protected UsersグループでNTLM・委任・キャッシュを無効化
• KRBTGTパスワードを年1回以上ローテ（Golden Ticket TTL対策）
• AdminSDHolder監視・GPO変更監視（永続化の伏線回収）
• RestrictedAdmin / Remote Credential GuardでRDP経由の漏洩防止
• BloodHoundで定期的に攻撃パスを棚卸し（防御側も使う）

🧪 検証用のLinuxラボを用意

権限昇格やエクスプロイトの練習は、許可を得た自分の検証環境で行うのがルール。💻 ConoHa VPSならUbuntuやCentOSをワンクリックで立てて、スナップショットも取れるので安心して試せます。

PR / 広告

※ 上記は他社サービスへのリンクです。購入は各自でご判断ください。

⚠️ よくある落とし穴

1. PsExecだけ警戒してWMI / WinRM / DCOM経由の静かな実行を見逃す
2. Kerberos認証はログが薄いと過信し、TGSリクエストの異常を見落とす
3. NTLMをまだ使っているサービスを棚卸ししないままNTLM Audit policyだけ有効化
4. KRBTGTローテを「1回だけ」やって満足する（実は2回必要）
5. BloodHoundのデータ収集を攻撃者にだけ便利なツールだと誤解する
6. Tier 0アカウントでTier 2端末にRDPして、その端末から漏洩

🧰 ツール早見表

🎓 本気で学びたい人へ

Linuxとサーバ・セキュリティを仕事レベルで学びたい方へ。🎓 ササエルはインフラエンジニア向けスクールで、システム設計から防御設計まで広くカバーしています。

PR / 広告

📚 もっと深く学びたい人へ

体系的に学ぶなら『ホワイトハッカー入門』、手を動かして覚えるなら『TryHackMeを使って身体で覚える攻撃手法と脆弱性』が定番。両方持っておくと、知識と実践の両輪で伸びます📚

📚 次に読みたい

• 資格情報窃取編｜CTF思考フレームワーク #36
• Linuxカーネル＆コンテナエスケープ編｜CTF思考フレームワーク #38
• Web LLM編｜CTF思考フレームワーク #20
• 永続化編｜CTF思考フレームワーク #39

🤝 大事なお約束