Расшифровка: DCE/RPC с NTLMSSP
У меня есть pcap, содержащий трафик DCE/RPC с аутентификацией через NTLMSSP в начале. Возможно ли с помощью Wireshark (или другого инструмента) расшифровать связь DCE/RPC, если у меня есть NTLMSSP пароль NT? В настройках протокола Wireshark я ввел пароль NT на вкладке NTLMSSP, но все еще в пакетах DCE/RPC вместо расшифрованного содержимого я вижу "Зашифрованные данные заглушки"...
1 ответ
Да, это возможно с помощью параметра «Пароль NT», который вы заметили в настройках протокола NTLMSSP.
Просто убедитесь, что вы используете открытый текстовый пароль (а не его хэш NTLM). Кроме того, согласно исходному коду поддерживаются только пароли ASCII (функцияstr_to_unicode).
Это еще не было задокументировано, поэтому я создал страницу NTLMSSP на вики Wireshark и, как я описал в этом