NTLM : générateur et recherche de hash Windows

Comprendre NTLM

Un hash NTLM de mot de passe est obtenu en appliquant MD4 à la représentation UTF-16LE du mot de passe. Il contient 128 bits et s’écrit avec 32 caractères hexadécimaux. Le format n’intègre pas de sel, ce qui facilite les recherches par dictionnaire et les tables pré-calculées.

Génération et recherche en base

La recherche compare l’empreinte saisie aux textes indexés dans notre base. Le mot “décrypter” est employé couramment, mais le fonctionnement réel est une recherche de correspondance : un texte absent du corpus ne peut pas être déduit directement.

Bonnes pratiques de sécurité

NTLM reste rencontré dans des environnements Windows anciens ou pour la compatibilité. Il ne doit pas être utilisé comme nouveau mécanisme de stockage. Pour un audit, ne testez que des identifiants et systèmes que vous êtes autorisé à examiner.

Reproduire le calcul

Un hash NTLM de mot de passe est le MD4 des octets UTF-16LE. Il ne faut pas le confondre avec LM, plus ancien, ni avec NetNTLM, qui est un protocole défi-réponse et non une simple empreinte de mot de passe.

$password = 'password';
$utf16le = iconv('UTF-8', 'UTF-16LE', $password);
echo hash('md4', $utf16le);

Exemple : le mot de passe ASCII « password » donne 8846f7eaee8fb117ad06bdd830b7586c. Les accents et caractères non ASCII changent les octets UTF-16LE et donc le résultat.

FAQ