RidRelay

Moyen rapide et simple d'obtenir des noms d'utilisateurs de domaine sur un réseau interne.

Contactez-moi : @skorov8

Comment ça fonctionne

RidRelay combine l'attaque par relais NTLM, les requêtes courantes basées sur lsarpc et le cyclage de RID pour obtenir une liste de noms d'utilisateurs de domaine. Il suit ces étapes :

1. Lance des serveurs SMB et HTTP et attend une connexion entrante
2. Les identifiants entrants sont relayés vers une cible spécifiée, créant une connexion avec le contexte de l'utilisateur relayé
3. Des requêtes sont envoyées via la connexion SMB au tube lsarpc pour obtenir la liste des noms d'utilisateurs de domaine. Cela se fait en cyclant jusqu'à 50 000 RID
4. La politique de mot de passe est extraite via le tube samr

(Pour de meilleurs résultats, utilisez avec Responder)

Dépendances

• Python 3.6
• Impacket v0.9.20-dev ou supérieur

Installation

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

Utilisation

Tout d'abord, trouvez un hôte cible vers lequel relayer. La cible doit être membre du domaine et DOIT avoir la signature SMB désactivée. CrackMapExec peut obtenir ces informations très rapidement !

Lancez RidRelay en pointant vers la cible :

python ridrelay.py -t 10.0.0.50

OU

Afficher également les noms d'utilisateurs dans un fichier

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

Hautement recommandé : Lancez Responder pour inciter les utilisateurs à se connecter à RidRelay

Remerciements

Un grand merci à :

• Ronnie Flathers (@ropnop) - Idée originale sur le relais SMB basse privilège

À faire :

• Ajout de l'énumération de la politique de mot de passe - FAIT
• * Relais dynamique basé sur l'endroit où les identifiants entrants ont des droits admin
• * Obtention des sessions actives ???
• * Connexion avec Bloodhound ???
• Décidé de garder cet outil simple. Les fonctionnalités ci-dessus viendront dans un nouvel outil à un moment donné