RelayKing v1.10

سيطر على النطاق. قم بالتوصيل إلى الملكية.

RelayKing هي أداة شاملة لاكتشاف وإحصاء التوصيلات (Relay) مصممة لتحديد فرص هجمات التوصيل في بيئات Active Directory. خيارات تقارير فعلية. تغطية شاملة للهجمات. ابحث عن مسارات التوصيل المخفية وأبلغ عنها بصيغة الإخراج المفضلة لديك. قم بتغذية أداة ntlmrelayx.py الخاصة بـ Impacket بقائمة أهداف منسقة من المضيفات القابلة للتوصيل التي تم اكتشافها. لا تفوت أبدًا مسار توصيل NTLM حرج وقابل للاستغلال في النطاق مرة أخرى.

المدونة/القراءة الموصى بها:

راجع المدونة المرتبطة المنشورة على موقع Depth Security لمزيد من التفاصيل: https://www.depthsecurity.com/blog/introducing-relayking-relay-to-royalty/

جدول المحتويات

• المدونة/القراءة الموصى بها
• اقرأ قبل الاستخدام
  • اعتبارات OPSEC
• الميزات
  • كشف البروتوكولات
  • الكشف المتقدم
  • تحليل مسارات التوصيل
  • خيارات الاستهداف
  • صيغ الإخراج
  • ميزات متنوعة
• التثبيت
• الاستخدام
  • خيارات سطر الأوامر
  • أمثلة
• ملاحظات حول الوظائف
  • الأداء
  • التجميع
  • ملاحظات سلوك الميزات
• قائمة المهام
• الأخطاء/القيود المعروفة
• تقديم المشكلات/طلبات السحب
  • المشكلات
  • طلبات السحب
• الإسنادات
• إخلاء المسؤولية
• الترخيص

اقرأ قبل الاستخدام:

اعتبارات OPSEC:

RelayKing ليست أداة صديقة لـ OPSEC في بعض الأوضاع، خاصة في وضع --audit. يتم توفير RelayKing كما هي دون أي ضمانات. انظر أسفل ملف README.

التثبيت

# استخدم venv. وفر على نفسك المتاعب.

# استنساخ المستودع:
git clone https://github.com/depthsecurity/RelayKing-Depth.git
# انتقل إلى المجلد المستنسخ:
cd RelayKing-Depth/
# تكوين venv لـ Python:
virtualenv --python=python3 .
source bin/activate
# تثبيت التبعيات:
pip3 install -r requirements.txt
# تحقق من نجاح تثبيت RelayKing:
python3 relayking.py -h

كشف البروتوكولات

• SMB/SMB2/SMB3: متطلبات التوقيع، ربط القناة، كشف الإصدار (لا يتطلب مصادقة)
• HTTP/HTTPS: تطبيق EPA/CBT (تتطلب مصادقة لفحوصات HTTPS الموثوقة)
• LDAP/LDAPS: متطلبات التوقيع، ربط القناة (تتطلب مصادقة لفحص CBT الموثوق على LDAPS)
• MSSQL: تطبيق EPA (يتطلب مصادقة لفحص موثوق)
• RPC: إحصاء نقاط نهاية MS-RPC، متطلبات المصادقة (يتطلب مصادقة لفحص موثوق)
• WINRM/WINRMS: إدارة WS-Management، تطبيق EPA، ربط القناة (فحص مصادق عليه) (قيد التطوير)
• SMTP: كشف مصادقة NTLM، دعم STARTTLS (قيد التطوير)
• IMAP/IMAPS: مصادقة NTLM، الوصول إلى البريد المشفر (قيد التطوير)

الكشف المتقدم

• انعكاس NTLM: يحدد المضيفات المعرضة لهجمات انعكاس NTLM (CVE-2025-33073)
• CVE-2025-54918: يكتشف مضيفات Windows Server 2025 غير المصححة المعرضة لانعكاس NTLM عبر إكراه PrintSpooler RPC إلى LDAPS. يتم الإبلاغ عنها كمستوى MEDIUM على أي مضيف Server 2025 غير مصحح؛ يرتفع إلى CRITICAL عندما يكون المضيف هو Domain Controller مع تمكين PrintSpooler. يتم الفحص عبر UBR (Update Build Revision) المستعلم من السجل.
• CVE-2019-1040 (إسقاط MIC): يكتشف المضيفات ذات UBRs الأقل من عتبة تصحيح يونيو 2019، مما يتيح تجريد حقل MIC للتوصيل عبر البروتوكولات (SMB إلى LDAP/LDAPS) باستخدام --remove-mic في ntlmrelayx. يتم الإبلاغ عنها كمستوى HIGH. يستخدم UBR المستعلم بالفعل لكل مضيف، لا حاجة لطلبات شبكة إضافية.
• كشف Ghost SPN: في وضع --audit، يستعلم Active Directory عن أسماء خدمة رئيسية (SPNs) لا تحتوي أسماء مضيفاتها على سجل DNS. يمكن للمهاجم تسجيل اسم DNS المفقود لاعتراض مصادقة NTLN الموجهة إلى ذلك الخدمة الأساسية. تنقسم النتائج إلى ضعيف (لا يوجد سجل DNS على الإطلاق) وربما ضعيف (يتم حلها فقط عبر wildcard DNS). يتم الإبلاغ عنها كمستوى MEDIUM. تُكتب النتائج الكاملة إلى possible-ghost-spns.txt. يمكن إخفاؤها باستخدام --no-ghosts.
• WebDAV/WebClient: يكتشف المضيفات التي تعمل بها خدمة WebDAV WebClient
• دعم NTLMv1: يتحقق من دعم مصادقة NTLMv1 (بشكل فردي أو على مستوى GPO)
• ثغرات الإكراه: يكتشف PetitPotam، PrinterBug، DFSCoerce غير المصادق عليهم (إذا تم تحديدها)

تحليل مسارات التوصيل

• يحدد تلقائيًا مسارات هجوم التوصيل القابلة للتطبيق (تعمل، تحتاج إلى مزيد من العمل)
• يعطي الأولوية للمسارات حسب التأثير (حرج، عالي، متوسط، منخفض)
• كشف التوصيل عبر البروتوكولات (يتطلب --ntlmv1 أو --ntlmv1-all - كشف عبر البروتوكولات فقط عند اكتشاف استخدام Net-NTLMv1 مؤكد)
• مسارات انعكاس NTLM (بما في ذلك مسارات إزالة MIC الجزئية/التوصيل عبر البروتوكولات)
• مسارات CVE-2025-54918: MEDIUM على أي مضيف Server 2025 غير مصحح، CRITICAL على Domain Controller غير مصحح مع تمكين PrintSpooler
• مسارات CVE-2019-1040: HIGH، توصيل عبر البروتوكولات من SMB إلى LDAP عبر تجريد MIC (--remove-mic)
• مسارات Ghost SPN: MEDIUM، عرض 5 مسارات في التقرير مع الإخراج الكامل في possible-ghost-spns.txt
• منطق تقدير الشدة قيد التطوير، قدم طلبات سحب للتحسينات! لا تتم تغطية 100% من المواقف/السيناريوهات حاليًا - الهدف هو تغطية جميع البدائيات الممكنة.

خيارات الاستهداف

• تدقيق Active Directory (--audit): تعداد جميع أجهزة الكمبيوتر من AD عبر LDAP. يتطلب بيانات اعتماد AD ذات صلاحيات منخفضة ونظام DNS وظيفي داخل البيئة. استخدم --dc-ip أو حرّر /etc/resolv.conf للفرض.
• إدخال ملف: تحميل الأهداف من ملف نصي
• تدوين CIDR: فحص الشبكات الفرعية الكاملة (مثل 10.0.0.0/24)
• نطاقات IP: فحص نطاقات IP (مثل 10.0.0.1-254)
• مضيفات فردية: استهداف مضيفات محددة أو FQDNs (python3 relayking.py -u blah -p pass -d domain.local <your_target_ip_or_hostname>)

صيغ الإخراج

• نص عادي: إخراج قابل للقراءة البشرية مع نتائج مفصلة
• JSON: بيانات منظمة للتحليل البرمجي
• XML: تنسيق بيانات هرمي
• CSV: تنسيق متوافق مع جداول البيانات
• قابل للـ grep: تنسيق سطر واحد لكل نتيجة لسهولة التحليل
• Markdown: تنسيق جاهز للتوثيق

ميزات متنوعة

• الإكراه الجماعي: --coerce-all مع --audit وبيانات اعتماد ذات صلاحيات منخفضة لإكراه كل جهاز في النطاق من أجل توصيل حسابات الكمبيوتر الجماعي. مفيد جدًا في البيئات التي يتم فيها تمكين Net-NTLMv1.
• اكتشاف Net-NTLMv1: --ntlmv1 أو --ntlmv1-all لاكتشاف GPOs الخاصة بـ LanMan على مستوى النطاق. --ntlmv1-all يفحص جميع المضيفات من AD وقيم سجلها باستخدام RemoteRegistry. (يتطلب صلاحيات مدير محلي).
• إنشاء قائمة التوصيل: --gen-relay-list <ملف> لإنتاج ملف أهداف قابل للاستيراد مباشرة لمفتاح -tf في ntlmrelayx.py.
• فحص Ghost SPN: يتم تشغيله تلقائيًا في وضع --audit عند وجود بيانات اعتماد. يمكن إخفاؤه باستخدام --no-ghosts. تكتب النتائج الكاملة إلى possible-ghost-spns.txt بجانب التقرير الرئيسي؛ يعرض التقرير أول 5 نتائج لتجنب الفوضى.
• ميزات مصادقة Kerberos مرنة: يجب أن تعمل مصادقة Kerberos عبر -k (واسم FQDN لـ --dc-ip) بشكل جيد. إذا كانت البيئة تحتوي على Domain Controllers معطّل فيها NTLM تمامًا ولكنها تتسامح معه في أي مكان آخر، يمكنك استخدام --krb-dc-only حتى لا يتعارض مع أي فحوصات. أيضًا، تتوفر --dns-tcp و -ns للعمل عبر SOCKS/وكلاء آخرين. حتى kerb يعمل في هذا السيناريو بسهولة.

الاستخدام

اطبع خيارات سطر الأوامر/الاستخدام باستخدام -h، كما هو متوقع:

python3 relayking.py -h

أمثلة