Relay Bible — Guida al Relay per Test di Penetrazione Interni

Un riferimento completo per gli attacchi di relay NTLM durante test di penetrazione interni autorizzati. Copre i fondamenti dell'autenticazione, le tecniche di coercizione, i target di relay per protocollo, gli strumenti, il chaining avanzato e le mitigazioni difensive.

Prerequisiti

• Un host Linux per gli attacchi (Kali, Parrot o simili)
• Python 3.10+ con Impacket installato
• Accesso di rete all'ambiente target (engagement autorizzato)
• Conoscenza di base di Active Directory e del networking Windows

Indice

1. Fondamenti

• Teoria di autenticazione NTLM e relay — Come funziona NTLM, perché il relay è possibile, NTLMv1 vs v2, firma, EPA
• Teoria di autenticazione Kerberos e relay — Scambio AS/TGS/AP, canonicalizzazione SPN, perché Kerberos è ancora relayabile
• Identificare le opportunità di relay — Enumerazione, individuazione di host senza firma, mappatura della superficie d'attacco

2. Tecniche di Coercizione

• Panoramica sulla coercizione — Forzare le macchine ad autenticarsi verso il proprio listener
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. Target di Relay (per protocollo)

• Relay SMB — Relay verso SMB per l'esecuzione di codice
• Relay LDAP / LDAPS — Delega di accessi, creazione di account macchina, RBCD
• Relay MSSQL — Relay verso SQL Server per l'esecuzione di comandi
• Relay HTTP / WebDAV — Relay verso endpoint web, coercizione WebDAV
• Attacchi ADCS (ESC1–ESC15) — Tutte le tecniche di escalation ADCS, incluso il relay
• Relay SMTP / IMAP — Relay verso Exchange/servizi di posta
• Relay RPC / DCOM — Relay verso endpoint RPC
• Relay tramite proxy SOCKS — Mantenere sessioni di relay persistenti tramite SOCKS

4. Configurazione e Utilizzo degli Strumenti

• Responder — Avvelenamento (poisoning) e cattura di hash
• ntlmrelayx.py — Il framework di relay principale
• mitm6 — Takeover DNS IPv6 per la coercizione
• Certipy — Enumerazione ADCS e relay
• Coercer — Strumento di coercizione automatizzato
• krbrelayx — Relay Kerberos e abuso della delega

5. Tecniche Avanzate

• Relay cross-protocollo — Relay da un protocollo a un altro
• Catene di attacco IPv6 — Combinazioni mitm6 + relay
• Chaining e Pivoting del Relay — Scenari di relay multi-hop
• Trucco di coercizione WebDAV — Forzare l'autenticazione HTTP dalle macchine
• Relay Kerberos tramite abuso CNAME DNS — Cymulate / CVE-2026-20929, relay TGS Kerberos tramite avvelenamento CNAME

6. Difesa e Rilevamento

• Mitigazioni — Firma SMB, firma LDAP, EPA, disabilitazione di NTLM
• Rilevamento — Sorgenti di log, regole Sigma, indicatori comportamentali

---

Riferimento Rapido: Relay NTLM — Cosa può essere relayato e dove

Si applica al relay NTLM classico in ambienti moderni patchati (post-CVE-2019-1040). Per l'analisi cross-protocollo più dettagliata, vedere Relay cross-protocollo.

Source Auth	→ SMB	→ LDAP	→ MSSQL	→ HTTP	→ ADCS	→ SOCKS
SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

* Il target non deve richiedere la firma SMB † L'NTLM proveniente da SMB include i flag di firma in NEGOTIATE, che LDAP e ADCS HTTP impongono — facendo sì che la sessione relayata richieda una chiave di firma che l'attaccante non possiede. Questo è il motivo per cui l'autenticazione proveniente da WebDAV/HTTP è preferita per il relay verso LDAP e ADCS.

Riferimento Rapido: Relay Kerberos tramite abuso CNAME DNS

La primitiva Cymulate / CVE-2026-20929 (gen 2026) — l'attaccante avvelena il DNS con un CNAME, Windows canonicalizza lo SPN, il client richiede un TGS per il target scelto dall'attaccante e l'AP-REQ viene relayato. Poiché molti servizi accettano i ticket basandosi solo sulla parte DNS dello SPN, la classe dello SPN sorgente conta molto meno che nel relay NTLM — ciò che limita l'attacco è se il servizio target applica un proprio controllo anti-relay.

Target service	Relayable unless...	Patch / status
SMB	SMB signing is required on the target	—
LDAP	LDAP signing is required	—
LDAPS	LdapEnforceChannelBinding = 2 (Always)	—
HTTP / IIS	HTTP CBT enforced (HTTP.sys token checking = Require)	CVE-2026-20929 backports HTTP.sys CBT
ADCS /certsrv/	Extended Protection = Require on the vdir	HTTP.sys CBT via CVE-2026-20929 applies
MSSQL	Extended Protection enabled	—
Exchange (OWA/ECP/…)	EPA on all virtual directories	—