RelayKing v1.10

ドメインを掌握せよ。王族へリレーせよ。

RelayKing は、Active Directory 環境におけるリレー攻撃の機会を特定するために設計された、包括的なリレー検出・列挙ツールです。実際のレポートオプション、包括的な攻撃範囲。隠れたリレーベクトルを見つけ、お好みの出力形式でレポート化。Impacket の ntlmrelayx.py に、検出されたリレー可能ホストの厳選ターゲットリストを供給します。ドメイン内の重要な、悪用可能な NTLM リレーパスを見逃すことはもうありません。

ブログ/おすすめの読み物：

詳細については、Depth Security Web サイトで公開された関連ブログを参照してください：https://www.depthsecurity.com/blog/introducing-relayking-relay-to-royalty/

目次

• ブログ/おすすめの読み物
• 使用前の注意事項
  • 作戦保全（OPSEC）に関する考慮事項
• 機能
  • プロトコル検出
  • 高度な検出
  • リレーパス分析
  • ターゲットオプション
  • 出力形式
  • その他の機能
• インストール
• 使用方法
  • コマンドラインオプション
  • 例
• 機能に関する注意事項
  • パフォーマンス
  • グループ化
  • 機能動作の注意点
• 今後の予定
• 現在の既知のバグ/制限
• 問題/プルリクエストの提出
  • 問題
  • プルリクエスト
• クレジット
• 免責事項
• ライセンス

使用前の注意事項：

作戦保全（OPSEC）に関する考慮事項：

RelayKing は特定のモード、特に --audit モードにおいて、作戦保全（OPSEC）に優れたツールではありません。 RelayKing は現状のままで提供され、いかなる保証もありません。Readme の下部を参照してください。

インストール

# venv を使用してください。手間を省けます。

# リポジトリをクローン：
git clone https://github.com/depthsecurity/RelayKing-Depth.git
# クローンしたディレクトリに移動：
cd RelayKing-Depth/
# Python venv を設定：
virtualenv --python=python3 .
source bin/activate
# 依存関係をインストール：
pip3 install -r requirements.txt
# RelayKing のインストールが成功したことを確認：
python3 relayking.py -h

プロトコル検出

• SMB/SMB2/SMB3: 署名要件、チャネルバインディング、バージョン検出 (認証不要)
• HTTP/HTTPS: EPA/CBT の強制 (信頼性の高いHTTPSチェックには認証が必要)
• LDAP/LDAPS: 署名要件、チャネルバインディング (LDAPS の信頼性の高い CBT チェックには認証が必要)
• MSSQL: EPA の強制 (信頼性の高いチェックには認証が必要)
• RPC: MS-RPC エンドポイントの列挙、認証要件 (信頼性の高いチェックには認証が必要)
• WINRM/WINRMS: WS-Management、EPA の強制、チャネルバインディング (認証ありのチェック) (WIP)
• SMTP: NTLM 認証の検出、STARTTLS サポート (WIP)
• IMAP/IMAPS: NTLM 認証、暗号化メールアクセス (WIP)

高度な検出

• NTLM リフレクション: NTLM リフレクション攻撃 (CVE-2025-33073) に対して脆弱なホストを識別します。
• CVE-2025-54918: PrintSpooler RPC 強制を介した LDAPS への NTLM リフレクションに対して脆弱な、未パッチの Windows Server 2025 ホストを検出します。パッチ未適用の Server 2025 ホストでは MEDIUM と報告され、ホストが PrintSpooler が有効な DC の場合、CRITICAL にエスカレーションされます。レジストリから照会された UBR (Update Build Revision) によってチェックされます。
• CVE-2019-1040 (Drop the MIC): 2019 年 6 月のパッチしきい値未満の UBR を持つホストを検出します。これにより、ntlmrelayx の --remove-mic を使用したクロスプロトコルリレー (SMB から LDAP/LDAPS) のために MIC フィールドを除去することが可能になります。HIGH と報告されます。ホストごとに既に照会された UBR を使用し、追加のネットワーク要求はありません。
• Ghost SPN 検出: --audit モードで、ホスト名に DNS レコードが存在しないサービスプリンシパル名 (SPN) を Active Directory に対して照会します。攻撃者は欠落している DNS 名を登録し、そのサービスプリンシパル宛の NTLM 認証を傍受できます。検出結果は vulnerable（DNS レコードが全くない）と probably vulnerable（ワイルドカード DNS でのみ解決される）に分けられます。MEDIUM と報告されます。完全な結果は possible-ghost-spns.txt に書き込まれます。--no-ghosts で抑制できます。
• WebDAV/WebClient: WebDAV WebClient サービスが実行されているホストを検出します。
• NTLMv1 サポート: NTLMv1 認証サポート (個別または GPO レベル) をチェックします。
• 強制の脆弱性: 認証なし (指定された場合) の PetitPotam、PrinterBug、DFSCoerce を検出します。

リレーパス分析

• 実行可能なリレー攻撃パスを自動的に識別します（機能は動作しますが、さらなる作業が必要です）。
• パスを影響度（クリティカル、高、中、低）で優先順位付けします。
• クロスプロトコルリレー検出（--ntlmv1 または --ntlmv1-all が必要 - クロスプロトコル検出は、Net-NTLMv1 の使用が確認された場合のみ）。
• NTLM リフレクションパス（部分的な MIC 除去パス/クロスプロトコルリレーを含む）。
• CVE-2025-54918 パス：パッチ未適用の Server 2025 ホストでは MEDIUM、PrintSpooler が有効なパッチ未適用の DC では CRITICAL。
• CVE-2019-1040 パス：HIGH、MIC 除去 (--remove-mic) による SMB-to-LDAP クロスプロトコルリレー。
• Ghost SPN パス：MEDIUM、レポートには最大 5 件が表示され、完全な出力は possible-ghost-spns.txt に。
• 重大度評価ロジックは WIP（進行中）です。アップグレードや改善のための PR を送信してください！現在、すべての状況/シナリオが考慮されているわけではありません。目標はすべての可能なプリミティブをカバーすることです。

ターゲットオプション

• Active Directory 監査 (--audit): LDAP 経由で AD からすべてのコンピュータを列挙します。低権限の AD 資格情報と環境内の 機能する DNS が必要です。--dc-ip を使用するか、/etc/resolv.conf を編集して強制します。
• ファイル入力: テキストファイルからターゲットを読み込みます。
• CIDR 表記: サブネット全体をスキャンします（例：10.0.0.0/24）。
• IP 範囲: IP 範囲をスキャンします（例：10.0.0.1-254）。
• 個別ホスト: 特定のホストまたは FQDN をターゲットにします（python3 relayking.py -u blah -p pass -d domain.local <your_target_ip_or_hostname>）。

出力形式

• プレーンテキスト: 詳細な調査結果を含む人間が読める出力。
• JSON: プログラムによる分析のための構造化データ。
• XML: 階層的なデータ形式。
• CSV: スプレッドシート互換形式。
• Grep 可能: 解析を容易にする 1 行 1 結果の形式。
• Markdown: ドキュメント作成に適した形式。

その他の機能

• Mass Coercion: --coerce-all を --audit および低権限の資格情報と組み合わせて、すべてのドメインマシンを強制し、大規模なコンピュータアカウントリレーを実行します。Net-NTLMv1 が有効な環境で非常に有用です。
• Net-NTLMv1 検出: --ntlmv1 または --ntlmv1-all を使用して、ドメインレベルでの LanMan GPO を検出します。--ntlmv1-all は、AD からのすべてのホストとそのレジストリ値を RemoteRegistry を使用してチェックします。(ローカル管理者が必要です)。
• リレーリスト生成: --gen-relay-list <file> を使用して、ntlmrelayx.py の -tf スイッチにすぐにインポート可能なターゲットファイルを生成します。
• Ghost SPN チェック: 資格情報が存在する場合、--audit モードで自動的に実行されます。--no-ghosts で抑制します。完全な結果はメインレポートと共に possible-ghost-spns.txt に書き込まれます。レポートには最初の 5 件のみ表示され、乱雑さを避けます。
• 柔軟な Kerberos 認証機能: -k および --dc-ip に FQDN を指定した Kerberos 認証は、かなり適切に動作するはずです。環境に NTLM が完全に無効化されたドメインコントローラがあり、他の場所では NTLM が許容されている場合、--krb-dc-only を使用してチェックに干渉しないようにできます。また、SOCKS/その他のプロキシピボットを介した作業のために、--dns-tcp および -ns も利用可能です。このシナリオでも Kerberos は簡単に機能します。

使用方法

コマンドライン引数/使用方法を表示するには、期待通り -h を使用します：

python3 relayking.py -h

例