RelayKing v1.10
Dominez le domaine. Relayer vers la royauté.
RelayKing est un outil complet de détection et d'énumération de relais conçu pour identifier les opportunités d'attaques par relais dans les environnements Active Directory. Véritables options de rapport. Couverture complète des attaques. Trouvez les vecteurs de relais cachés et rapportez-les dans le format de sortie de votre choix. Alimentez ntlmrelayx.py d'Impacket avec une liste cible organisée d'hôtes détectés et relayables. Ne manquez plus jamais un chemin de relais NTLM critique et exploitable dans le domaine.
Blog/Recommended Reading:
Voir le blog associé publié sur le site de Depth Security pour plus de détails : https://www.depthsecurity.com/blog/introducing-relayking-relay-to-royalty/
Table of Contents
READ BEFORE USING:
OPSEC CONSIDERATIONS:
**RelayKing N'EST PAS UN OUTIL OPSEC-FRIENDLY DANS CERTAINS MODES, PARTICULIÈREMENT EN MODE --audit.
RelayKing est fourni EN L'ÉTAT SANS AUCUNE GARANTIE. Voir le bas du readme.
Installation
# Use a venv. Save yourself the hassle.
# Clone repo:
git clone https://github.com/depthsecurity/RelayKing-Depth.git
#Navigate to cloned dir:
cd RelayKing-Depth/
# Configure Python venv:
virtualenv --python=python3 .
source bin/activate
# Install deps:
pip3 install -r requirements.txt
# Validate RelayKing installation was successful:
python3 relayking.py -h
Protocol Detection
- SMB/SMB2/SMB3 : Exigences de signature, liaison de canal, détection de version (aucune authentification requise)
- HTTP/HTTPS : Application EPA/CBT (Authentification requise pour des vérifications HTTPS fiables)
- LDAP/LDAPS : Exigences de signature, liaison de canal (Authentification requise pour une vérification CBT fiable sur LDAPS)
- MSSQL : Application EPA (Authentification requise pour une vérification fiable)
- RPC : Énumération des points de terminaison MS-RPC, exigences d'authentification (Authentification requise pour une vérification fiable)
- WINRM/WINRMS : WS-Management, application EPA, liaison de canal (Vérification authentifiée) (WIP)
- SMTP : Détection d'authentification NTLM, support STARTTLS (WIP)
- IMAP/IMAPS : Authentification NTLM, accès au courrier chiffré (WIP)
Advanced Detection
- NTLM Reflection : Identifie les hôtes vulnérables aux attaques par réflexion NTLM (CVE-2025-33073)
- CVE-2025-54918 : Détecte les hôtes Windows Server 2025 non patchés vulnérables à la réflexion NTLM via la coercition RPC PrintSpooler vers LDAPS. Signalé comme MOYEN sur tout hôte Server 2025 non patché ; passe à CRITIQUE lorsque l'hôte est un contrôleur de domaine avec PrintSpooler activé. Vérifié via UBR (Update Build Revision) interrogé depuis le registre.
- CVE-2019-1040 (Drop the MIC) : Détecte les hôtes avec des UBR inférieurs au seuil du patch de juin 2019, permettant le stripping du champ MIC pour un relais inter-protocole (SMB vers LDAP/LDAPS) avec
--remove-mic de ntlmrelayx. Signalé comme ÉLEVÉ. Utilise l'UBR déjà interrogé par hôte, sans requêtes réseau supplémentaires.
- Ghost SPN Detection : En mode
--audit, interroge Active Directory pour les noms de principaux de service dont les noms d'hôte n'ont pas d'enregistrement DNS. Un attaquant peut enregistrer le nom DNS manquant pour intercepter l'authentification NTLM destinée à ce principal de service. Les résultats sont divisés en vulnérables (aucun enregistrement DNS du tout) et probablement vulnérables (résolu uniquement via DNS générique). Signalé comme MOYEN. Les résultats complets sont écrits dans possible-ghost-spns.txt. Supprimez avec --no-ghosts.
- WebDAV/WebClient : Détecte les hôtes avec le service WebDAV WebClient en cours d'exécution
- NTLMv1 Support : Vérifie le support de l'authentification NTLMv1 (individuellement ou au niveau GPO)
- Coercion Vulnerabilities : Détecte PetitPotam, PrinterBug, DFSCoerce non authentifiés (si spécifié)
Relay Path Analysis
- Identifie automatiquement les chemins d'attaque par relais viables (Fonctionnel, nécessite plus de travail)
- Priorise les chemins par impact (critique, élevé, moyen, faible)
- Détection de relais inter-protocole (nécessite
--ntlmv1 ou --ntlmv1-all - détection inter-protocole uniquement lorsque l'utilisation confirmée de Net-NTLMv1 est découverte)
- Chemins de réflexion NTLM (y compris les chemins de suppression partielle de MIC/relais inter-protocole)
- Chemins CVE-2025-54918 : MOYEN sur tout hôte Server 2025 non patché, CRITIQUE sur un contrôleur de domaine non patché avec PrintSpooler activé
- Chemins CVE-2019-1040 : ÉLEVÉ, relais inter-protocole SMB vers LDAP via stripping MIC (
--remove-mic)
- Chemins Ghost SPN : MOYEN, jusqu'à 5 affichés dans le rapport avec la sortie complète dans
possible-ghost-spns.txt
- La logique de notation de sévérité est en cours de développement, soumettez des PR pour des améliorations/perfectionnements ! Toutes les situations/scénarios ne sont pas encore pris en compte - l'objectif est de couvrir toutes les primitives possibles.
Targeting Options
- Active Directory Audit
(--audit) : Énumère tous les ordinateurs depuis AD via LDAP. Nécessite des identifiants AD à faibles privilèges et un DNS fonctionnel dans l'environnement. Forcer avec --dc-ip ou modifier /etc/resolv.conf.
- File Input : Charger des cibles depuis un fichier texte
- CIDR Notation : Scanner des sous-réseaux entiers (ex.
10.0.0.0/24)
- IP Ranges : Scanner des plages IP (ex.
10.0.0.1-254)
- Individual Hosts : Cibler des hôtes spécifiques ou des FQDN (
python3 relayking.py -u user -p pass -d domain.local <votre_ip_ou_nom_hote_cible>)
- Plaintext : Sortie lisible par l'homme avec des résultats détaillés
- JSON : Données structurées pour analyse programmatique
- XML : Format de données hiérarchique
- CSV : Format compatible tableur
- Grep-able : Format une ligne par résultat pour une analyse facile
- Markdown : Format prêt pour la documentation
