रिले बाइबिल — आंतरिक पैठ परीक्षण रिले गाइड

अधिकृत आंतरिक पैठ परीक्षणों के दौरान NTLM रिले हमलों के लिए एक व्यापक संदर्भ। प्रमाणीकरण मूल बातें, मजबूरी तकनीक, प्रति-प्रोटोकॉल रिले लक्ष्य, टूलिंग, उन्नत श्रृंखला और रक्षात्मक शमन को शामिल करता है।

पूर्वापेक्षाएँ

• एक लिनक्स हमला होस्ट (काली, तोता, या समान)
• स्थापित Impacket के साथ Python 3.10+
• लक्ष्य वातावरण तक नेटवर्क पहुंच (अधिकृत जुड़ाव)
• सक्रिय निर्देशिका और विंडोज नेटवर्किंग की बुनियादी समझ

सामग्री तालिका

1. मूल सिद्धांत

• NTLM प्रमाणीकरण और रिले सिद्धांत — NTLM कैसे काम करता है, रिले करना क्यों संभव है, NTLMv1 बनाम v2, हस्ताक्षर, EPA
• केर्बेरोस प्रमाणीकरण और रिले सिद्धांत — AS/TGS/AP आदान-प्रदान, SPN कैनोनिकलाइज़ेशन, केर्बेरोस अभी भी रिले करने योग्य क्यों है
• रिले के अवसरों की पहचान — गणना, बिना हस्ताक्षर वाले होस्ट ढूँढना, हमले की सतह का मानचित्रण

2. मजबूरी तकनीकें

• मजबूरी अवलोकन — मशीनों को आपके श्रोता से प्रमाणित करने के लिए बाध्य करना
• पेटिटपोटाम (MS-EFSRPC)
• प्रिंटरबग / स्पूलसैंपल (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• शैडोकोअर्स (MS-FSRVP)

3. रिले लक्ष्य (प्रोटोकॉल द्वारा)

• SMB रिले — कोड निष्पादन के लिए SMB पर रिले
• LDAP / LDAPS रिले — पहुँच प्रतिनिधित्व, मशीन खाते बनाना, RBCD
• MSSQL रिले — कमांड निष्पादन के लिए SQL सर्वर पर रिले
• HTTP / WebDAV रिले — वेब एंडपॉइंट पर रिले, WebDAV मजबूरी
• ADCS हमले (ESC1–ESC15) — सभी ADCS वृद्धि तकनीकें जिनमें रिले शामिल है
• SMTP / IMAP रिले — एक्सचेंज/मेल सेवाओं पर रिले
• RPC / DCOM रिले — RPC एंडपॉइंट पर रिले
• SOCKS प्रॉक्सी रिले — SOCKS के माध्यम से स्थायी रिले सत्र बनाए रखना

4. टूल सेटअप और उपयोग

• रेस्पॉन्डर — जहर देना और हैश कैप्चर करना
• ntlmrelayx.py — प्राथमिक रिले ढांचा
• mitm6 — मजबूरी के लिए IPv6 DNS अधिग्रहण
• Certipy — ADCS गणना और रिले
• Coercer — स्वचालित मजबूरी उपकरण
• krbrelayx — केर्बेरोस रिले और प्रतिनिधित्व दुरुपयोग

5. उन्नत तकनीकें

• क्रॉस-प्रोटोकॉल रिले — एक प्रोटोकॉल से दूसरे पर रिले
• IPv6 हमला श्रृंखला — mitm6 + रिले संयोजन
• रिले श्रृंखला और पिवटिंग — मल्टी-हॉप रिले परिदृश्य
• WebDAV मजबूरी चाल — मशीनों से HTTP प्रमाणीकरण बाध्य करना
• DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले — Cymulate / CVE-2026-20929, CNAME विषाक्तता के माध्यम से केर्बेरोस TGS रिले

6. रक्षा और पहचान

• शमन — SMB हस्ताक्षर, LDAP हस्ताक्षर, EPA, NTLM अक्षम करना
• पहचान — लॉग स्रोत, सिग्मा नियम, व्यवहार संकेतक

---

त्वरित संदर्भ: NTLM रिले — कहाँ क्या रिले किया जा सकता है?

आधुनिक (CVE-2019-1040 के बाद पैच किए गए) वातावरणों पर क्लासिक NTLM रिले पर लागू होता है। अधिक विस्तृत क्रॉस-प्रोटोकॉल विवरण के लिए, क्रॉस-प्रोटोकॉल रिले देखें।

स्रोत प्रमाणीकरण	→ SMB	→ LDAP	→ MSSQL	→ HTTP	→ ADCS	→ SOCKS
SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

* लक्ष्य को SMB हस्ताक्षर की आवश्यकता नहीं होनी चाहिए † SMB-स्रोतित NTLM में NEGOTIATE में हस्ताक्षर फ्लैग शामिल होते हैं, जिन्हें LDAP और ADCS HTTP लागू करता है — जिससे रिले किए गए सत्र के लिए हस्ताक्षर कुंजी की आवश्यकता होती है जो हमलावर के पास नहीं है। यही कारण है कि LDAP और ADCS रिले के लिए WebDAV/HTTP-स्रोतित प्रमाणीकरण पसंद किया जाता है।

त्वरित संदर्भ: DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले

Cymulate / CVE-2026-20929 आदिम (जनवरी 2026) — हमलावर DNS को CNAME से दूषित करता है, विंडोज SPN को कैनोनिकलाइज़ करता है, क्लाइंट हमलावर के चुने हुए लक्ष्य के लिए TGS का अनुरोध करता है, AP-REQ रिले किया जाता है। चूंकि कई सेवाएँ केवल SPN के DNS भाग के आधार पर टिकट स्वीकार करती हैं, स्रोत SPN वर्ग NTLM रिले की तुलना में बहुत कम मायने रखता है — हमले को क्या रोकता है कि लक्ष्य सेवा अपने स्वयं के एंटी-रिले नियंत्रण को लागू करती है या नहीं।

लक्ष्य सेवा	रिले करने योग्य जब तक...	पैच / स्थिति
SMB	SMB हस्ताक्षर लक्ष्य पर आवश्यक है	—
LDAP	LDAP हस्ताक्षर आवश्यक है	—
LDAPS	LdapEnforceChannelBinding = 2 (हमेशा)	—
HTTP / IIS	HTTP CBT लागू (HTTP.sys टोकन जाँच = आवश्यक)	CVE-2026-20929 HTTP.sys CBT को बैकपोर्ट करता है
ADCS /certsrv/	विस्तारित सुरक्षा = vdir पर आवश्यक	HTTP.sys CBT CVE-2026-20929 के माध्यम से लागू होता है
MSSQL	विस्तारित सुरक्षा सक्षम	—
एक्सचेंज (OWA/ECP/…)	सभी वर्चुअल निर्देशिकाओं पर EPA	—

सभी पंक्तियाँ मानती हैं कि हमलावर के पास DNS (mitm6 के माध्यम से DHCPv6, ARP, रोग DHCPv4) को दूषित करने के लिए नेटवर्क स्थिति है। पूरी तकनीक: DNS CNAME दुरुपयोग के माध्यम से केर्बेरोस रिले।

त्वरित प्रारंभ