Relay Bible — Guide de relais pour tests d'intrusion internes

Un référentiel complet pour les attaques par relais NTLM lors de tests d'intrusion internes autorisés. Couvre les fondamentaux de l'authentification, les techniques de coercition, les cibles de relais par protocole, les outils, le chaînage avancé et les mesures défensives.

Prérequis

• Une machine d'attaque Linux (Kali, Parrot ou similaire)
• Python 3.10+ avec Impacket installé
• Accès réseau à l'environnement cible (engagement autorisé)
• Compréhension de base d'Active Directory et du réseau Windows

Table des matières

1. Fondamentaux

• Authentification NTLM et théorie du relais — Comment fonctionne NTLM, pourquoi le relais est possible, NTLMv1 vs v2, signature, EPA
• Authentification Kerberos et théorie du relais — Échanges AS/TGS/AP, canonisation du SPN, pourquoi Kerberos reste relayable
• Identifier les opportunités de relais — Énumération, recherche de machines sans signature, cartographie de la surface d'attaque

2. Techniques de coercition

• Aperçu de la coercition — Forcer les machines à s'authentifier vers votre écouteur
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. Cibles de relais (par protocole)

• Relais SMB — Relais vers SMB pour exécution de code
• Relais LDAP / LDAPS — Délégation d'accès, création de comptes machine, RBCD
• Relais MSSQL — Relais vers SQL Server pour exécution de commandes
• Relais HTTP / WebDAV — Relais vers des points de terminaison web, coercition WebDAV
• Attaques ADCS (ESC1–ESC15) — Toutes les techniques d'escalade ADCS y compris le relais
• Relais SMTP / IMAP — Relais vers Exchange/services de messagerie
• Relais RPC / DCOM — Relais vers des points de terminaison RPC
• Relais via proxy SOCKS — Maintenir des sessions de relais persistantes via SOCKS

4. Configuration et utilisation des outils

• Responder — Empoisonnement et capture de hashs
• ntlmrelayx.py — Le framework de relais principal
• mitm6 — Prise de contrôle DNS IPv6 pour coercition
• Certipy — Énumération ADCS et relais
• Coercer — Outil de coercition automatisé
• krbrelayx — Relais Kerberos et abus de délégation

5. Techniques avancées

• Relais inter-protocole — Relais d'un protocole à un autre
• Chaînes d'attaque IPv6 — Combinaisons mitm6 + relais
• Chaînage de relais et pivotement — Scénarios de relais multi-sauts
• Astuce de coercition WebDAV — Forcer l'authentification HTTP depuis des machines
• Relais Kerberos via abus de CNAME DNS — Cymulate / CVE-2026-20929, relais TGS Kerberos via empoisonnement CNAME

6. Défense et détection

• Mesures d'atténuation — Signature SMB, signature LDAP, EPA, désactivation de NTLM
• Détection — Sources de logs, règles Sigma, indicateurs comportementaux

---

Référence rapide : Relais NTLM — Quoi relayer où ?

S'applique au relais NTLM classique sur les environnements modernes patchés (post-CVE-2019-1040). Pour une ventilation inter-protocole plus détaillée, voir Relais inter-protocole.

Auth source	→ SMB	→ LDAP	→ MSSQL	→ HTTP	→ ADCS	→ SOCKS
SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

* La cible ne doit pas exiger la signature SMB † L'authentification NTLM provenant de SMB inclut des flags de signature dans NEGOTIATE, que LDAP et ADCS HTTP imposent — ce qui oblige la session relayée à nécessiter une clé de signature que l'attaquant ne possède pas. C'est pourquoi l'authentification WebDAV/HTTP est préférée pour le relais LDAP et ADCS.

Référence rapide : Relais Kerberos via abus de CNAME DNS

La primitive Cymulate / CVE-2026-20929 (janvier 2026) — l'attaquant empoisonne le DNS avec un CNAME, Windows canonise le SPN, le client demande un TGS pour la cible choisie par l'attaquant, l'AP-REQ est relayé. Comme de nombreux services acceptent les tickets basés uniquement sur la partie DNS du SPN, la classe SPN source importe beaucoup moins que dans le relais NTLM — ce qui limite l'attaque est si le service cible applique son propre contrôle anti-relais.