SMB Penetrationstest – NTLM-Relay-Angriff

Red Team Lab – NTLM-Relay via LLMNR-Poisoning, CVE-2007-2447, NTLMv2-Hash-Cracking & NT AUTHORITY\SYSTEM unter Windows 10

---

Autor

Feld	Details
Name	Younes
GitHub	@Youneskc
Typ	Penetrationstest-Labor
Status	Abgeschlossen

---

Rechtlicher Haftungsausschluss

Dieses Projekt wurde ausschließlich in einer isolierten Laborumgebung nur zu Bildungs- und Forschungszwecken durchgeführt.
Alle getesteten Systeme befinden sich im Privateigentum des Autors.
Es waren keine externen Netzwerke, Produktionssysteme oder Infrastrukturen Dritter beteiligt.
Alle Aktivitäten entsprechen den geltenden Gesetzen und ethischen Richtlinien für Cybersicherheitsforschung.

---

Projektübersicht

Dieses Labor dokumentiert eine vollständige SMB-Angriffskette gegen ein Windows-10-Ziel, die drei Phasen umfasst:

• Phase 1 – Aufklärung : SMB-Enumeration, Service-Fingerprinting, Schwachstellenidentifikation
• Phase 2 – Ausnutzung : NTLM-Relay-Angriff via Responder + ntlmrelayx, NTLMv2-Hash-Cracking
• Phase 3 – Post-Exploitation : NT AUTHORITY\SYSTEM-Shell, SAM-Dump, Pass-the-Hash, Persistenz

---

Laborumgebung

Maschine	Rolle	IP
Kali Linux	Angreifer / C2	192.168.1.50
Windows 10 Pro Build 19045	Ziel	192.168.1.20
Netzwerk	Host-Only VirtualBox	192.168.1.0/24

---

Angriffskette

LLMNR/NBT-NS Poisoning (Responder)
        ↓
NTLMv2 Hash Captured
        ↓
Hash Cracked in 2 seconds (Hashcat + rockyou.txt)
        ↓
Password Spray → administrateur:younes (Pwn3d!)
        ↓
Interactive Shell via psexec → NT AUTHORITY\SYSTEM
        ↓
SAM Database Dumped (secretsdump)
        ↓
Pass-the-Hash + Persistence (backdoor account)

---

Gefundene Schwachstellen

ID	Schwachstelle	CVSS	Schweregrad
F-01	SMB Message Signing deaktiviert	9.8	KRITISCH
F-02	SMBv1-Protokoll aktiviert	8.1	HOCH
F-03	NTLMv2-Hash in 2 Sekunden geknackt	9.3	KRITISCH
F-04	Passwortwiederverwendung (Admin = Benutzer)	7.5	HOCH
F-05	Vollständige SYSTEM-Shell via psexec	10.0	KRITISCH
F-06	Alle Hashes extrahiert (secretsdump)	9.8	KRITISCH
F-07	Persistentes Backdoor-Konto	9.1	KRITISCH

---

Repository-Struktur

SMB-Penetration-Testing-NTLM-Relay/
│
├── reconnaissance/       # Nmap, enum4linux-ng, CrackMapExec screenshots
├── exploit/              # Responder, ntlmrelayx, Hashcat, CME screenshots
├── postexploit/          # psexec, secretsdump, Pass-the-Hash, persistence screenshots
└── report/               # Full penetration test report (DOCX)

---

Verwendete Werkzeuge

Werkzeug	Zweck
Nmap	Portscannen, NSE-Skripte
enum4linux-ng	SMB-Enumeration
CrackMapExec	Fingerprinting, Password Spraying
Responder	LLMNR/NBT-NS-Poisoning
ntlmrelayx (Impacket)	NTLM-Relay
Hashcat	NTLMv2-Hash-Cracking
psexec.py (Impacket)	Remoteshell
secretsdump.py (Impacket)	SAM-Extraktion

---

MITRE ATT&CK-Mapping

Technik-ID	Name
T1557.001	LLMNR/NBT-NS-Poisoning und -Relay
T1110.002	Passwort-Cracking
T1110.003	Password Spraying
T1003.002	SAM-Datenbank-Dump
T1550.002	Pass the Hash
T1569.002	Dienstausführung (psexec)
T1136.001	Lokales Konto erstellen (Persistenz)

---

Hauptergebnis

Das Aktivieren von SMB Message Signing allein hätte diese gesamte Angriffskette verhindert.
Set-SmbServerConfiguration -RequireSecuritySignature $true

---

Bildungslabor – Isolierte Umgebung – Keine echten Systeme wurden geschädigt