Pruebas de Penetración SMB — Ataque NTLM Relay

Laboratorio Red Team — Retransmisión NTLM mediante Envenenamiento LLMNR, CVE-2007-2447, Cracking de Hash NTLMv2 y NT AUTHORITY\SYSTEM en Windows 10

---

Autor

Campo	Detalles
Nombre	Younes
GitHub	@Youneskc
Tipo	Laboratorio de Pruebas de Penetración
Estado	Completado

---

Aviso Legal

Este proyecto se llevó a cabo exclusivamente dentro de un entorno de laboratorio aislado con fines educativos y de investigación únicamente.
Todos los sistemas probados son propiedad privada del autor.
No se involucraron redes externas, sistemas de producción ni infraestructura de terceros.
Todas las actividades cumplen con las leyes aplicables y las directrices éticas que rigen la investigación en ciberseguridad.

---

Resumen del Proyecto

Este laboratorio documenta una cadena de ataque SMB completa contra un objetivo Windows 10, cubriendo tres fases:

• Fase 1 — Reconocimiento : enumeración SMB, fingerprinting de servicios, identificación de vulnerabilidades
• Fase 2 — Explotación : ataque NTLM Relay mediante Responder + ntlmrelayx, cracking de hash NTLMv2
• Fase 3 — Post-Explotación : shell NT AUTHORITY\SYSTEM, volcado SAM, Pass-the-Hash, persistencia

---

Entorno de Laboratorio

Máquina	Rol	IP
Kali Linux	Atacante / C2	192.168.1.50
Windows 10 Pro Build 19045	Objetivo	192.168.1.20
Red	Host-Only VirtualBox	192.168.1.0/24

---

Cadena de Ataque

LLMNR/NBT-NS Poisoning (Responder)
        ↓
NTLMv2 Hash Captured
        ↓
Hash Cracked in 2 seconds (Hashcat + rockyou.txt)
        ↓
Password Spray → administrateur:younes (Pwn3d!)
        ↓
Interactive Shell via psexec → NT AUTHORITY\SYSTEM
        ↓
SAM Database Dumped (secretsdump)
        ↓
Pass-the-Hash + Persistence (backdoor account)

---

Vulnerabilidades Encontradas

ID	Vulnerabilidad	CVSS	Severidad
F-01	Firma de Mensajes SMB Deshabilitada	9.8	CRÍTICA
F-02	Protocolo SMBv1 Habilitado	8.1	ALTA
F-03	Hash NTLMv2 Crackeado en 2 Segundos	9.3	CRÍTICA
F-04	Reutilización de Contraseña (Admin = Usuario)	7.5	ALTA
F-05	Shell SYSTEM Completa vía psexec	10.0	CRÍTICA
F-06	Todos los Hashes Extraídos (secretsdump)	9.8	CRÍTICA
F-07	Cuenta de Puerta Trasera Persistente	9.1	CRÍTICA

---

Estructura del Repositorio

SMB-Penetration-Testing-NTLM-Relay/
│
├── reconnaissance/       # Nmap, enum4linux-ng, capturas de pantalla de CrackMapExec
├── exploit/              # Responder, ntlmrelayx, Hashcat, capturas de pantalla de CME
├── postexploit/          # psexec, secretsdump, Pass-the-Hash, capturas de pantalla de persistencia
└── report/               # Informe completo de prueba de penetración (DOCX)

---

Herramientas Utilizadas

Herramienta	Propósito
Nmap	Escaneo de puertos, scripts NSE
enum4linux-ng	Enumeración SMB
CrackMapExec	Huella digital, pulverización de contraseñas
Responder	Envenenamiento LLMNR/NBT-NS
ntlmrelayx (Impacket)	Retransmisión NTLM
Hashcat	Cracking de hash NTLMv2
psexec.py (Impacket)	Shell remota
secretsdump.py (Impacket)	Extracción SAM

---

Mapeo MITRE ATT&CK

ID de Técnica	Nombre
T1557.001	LLMNR/NBT-NS Poisoning and Relay
T1110.002	Password Cracking
T1110.003	Password Spraying
T1003.002	SAM Database Dump
T1550.002	Pass the Hash
T1569.002	Service Execution (psexec)
T1136.001	Create Local Account (persistence)

---

Hallazgo Clave

Solo habilitar la Firma de Mensajes SMB habría evitado toda esta cadena de ataque.
Set-SmbServerConfiguration -RequireSecuritySignature $true

---

Laboratorio educativo — Entorno aislado — Ningún sistema real fue dañado