RidRelay

Modo rapido e semplice per ottenere nomi utente del dominio mentre si è in una rete interna.

Contattami: @skorov8

Come funziona

RidRelay combina l'attacco NTLM Relay, query comuni basate su lsarpc e RID cycling per ottenere una lista di nomi utente del dominio. Esegue questi passaggi:

1. Avvia server SMB e HTTP e attende una connessione in entrata
2. Le credenziali in entrata vengono inoltrate a un target specificato, creando una connessione con il contesto dell'utente inoltrato
3. Vengono effettuate query sulla connessione SMB verso la pipe lsarpc per ottenere la lista dei nomi utente del dominio. Questo avviene ciclando fino a 50000 RID
4. La policy delle password viene estratta tramite la pipe samr

(Per migliori risultati, usa con Responder)

Dipendenze

• Python 3.6
• Impacket v0.9.20-dev o superiore

Installazione

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

Utilizzo

Per prima cosa, trova un host target a cui inoltrare. Il target deve essere un membro del dominio e DEVE avere SMB Signing disattivato. CrackMapExec può ottenere queste informazioni molto velocemente!

Avvia RidRelay puntando al target:

python ridrelay.py -t 10.0.0.50

OPPURE

Inoltre, output degli username su file

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

Altamente Raccomandato: Avvia Responder per ingannare gli utenti e farli connettere a RidRelay

Riconoscimenti

Un grande ringraziamento a:

• Ronnie Flathers (@ropnop) - Idea originale sul relay SMB a bassi privilegi

TODO:

• Aggiungere enumerazione della policy delle password - FATTO
• Relay dinamico basato su dove le credenziali in entrata hanno diritti di amministratore
• Ottenere sessioni attive???
• Connettersi con Bloodhound???
• Deciso di mantenere questo strumento semplice. Le funzionalità di cui sopra arriveranno in un nuovo strumento in futuro.