RidRelay

内部ネットワーク上でドメインユーザー名を迅速かつ簡単に取得する方法。

連絡先: @skorov8

仕組み

RidRelayは、NTLMリレー攻撃、一般的なlsarpcベースのクエリ、RIDサイクリングを組み合わせて、ドメインユーザー名のリストを取得します。以下の手順を実行します：

1. SMBサーバとHTTPサーバを起動し、着信接続を待つ
2. 着信した資格情報を指定されたターゲットにリレーし、リレーされたユーザーのコンテキストで接続を作成する
3. SMB接続を介してlsarpcパイプにクエリを送信し、ドメインユーザー名のリストを取得する。これは最大50000 RIDまでサイクリングすることで行われる
4. samrパイプを介してパスワードポリシーを抽出する

（最良の結果を得るには、Responderと併用してください）

依存関係

• Python 3.6
• Impacket v0.9.20-dev 以上

インストール

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

使用方法

まず、リレー先のターゲットホストを見つけてください。ターゲットはドメインのメンバーであり、SMB署名が無効である必要があります。CrackMapExecを使用すると、この情報を非常に迅速に入手できます！

RidRelayをターゲットに向けて起動:

python ridrelay.py -t 10.0.0.50

または

ユーザー名をファイルに出力する場合

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

強く推奨: Responderを起動して、ユーザーがRidRelayに接続するように仕向けてください

謝辞

特別な感謝を:

• Ronnie Flathers (@ropnop) - 低権限SMBリレーに関するオリジナルのアイデア

今後の予定:

• パスワードポリシーの列挙を追加 - 完了
• 受信した資格情報が管理者権限を持つ場所に基づく動的リレー
• アクティブセッションの取得???
• Bloodhoundとの連携???
• このツールはシンプルに保つことにしました。上記の機能は、いずれ新しいツールで提供される予定です。