RidRelay

Forma rápida y sencilla de obtener nombres de usuario del dominio mientras estás en una red interna.

Contáctame: @skorov8

Cómo funciona

RidRelay combina el ataque de retransmisión NTLM, consultas comunes basadas en lsarpc y el ciclo de RID para obtener una lista de nombres de usuario del dominio. Sigue estos pasos:

1. Levanta servidores SMB y HTTP y espera una conexión entrante
2. Las credenciales entrantes se retransmiten a un objetivo especificado, creando una conexión con el contexto del usuario retransmitido
3. Se realizan consultas a través de la conexión SMB hacia el pipe lsarpc para obtener la lista de nombres de usuario del dominio. Esto se hace recorriendo hasta 50000 RIDs
4. La política de contraseñas se extrae a través del pipe samr

(Para mejores resultados, úsalo con Responder)

Dependencias

• Python 3.6
• Impacket v0.9.20-dev o superior

Instalación

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

Uso

Primero, encuentra un host objetivo al que retransmitir. El objetivo debe ser miembro del dominio y DEBE tener SMB Signing desactivado. CrackMapExec puede obtener esta información muy rápido.

Inicia RidRelay apuntando al objetivo:

python ridrelay.py -t 10.0.0.50

O

También guarda los nombres de usuario en un archivo:

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

Altamente recomendado: Inicia Responder para engañar a los usuarios y que se conecten a RidRelay

Agradecimientos

Un gran agradecimiento a:

• Ronnie Flathers (@ropnop) - Idea original sobre retransmisión SMB con pocos privilegios

Tareas pendientes:

• Añadir enumeración de políticas de contraseñas - HECHO
• Relaying dinámico basado en dónde las credenciales entrantes tienen derechos de administrador
• Obtener sesiones activas???
• Conectar con Bloodhound???
• Se decidió mantener esta herramienta simple. La funcionalidad anterior llegará en una nueva herramienta en algún momento.