RidRelay

내부 네트워크에서 도메인 사용자 이름을 빠르고 쉽게 얻는 방법.

문의: @skorov8

작동 원리

RidRelay는 NTLM 릴레이 공격, 일반적인 lsarpc 기반 쿼리 및 RID 사이클링을 결합하여 도메인 사용자 이름 목록을 얻습니다. 다음 단계를 수행합니다:

1. SMB 및 HTTP 서버를 시작하고 들어오는 연결을 기다립니다.
2. 들어오는 자격 증명이 지정된 대상으로 릴레이되어 릴레이된 사용자의 컨텍스트로 연결을 생성합니다.
3. SMB 연결을 통해 lsarpc 파이프로 쿼리를 수행하여 도메인 사용자 이름 목록을 가져옵니다. 최대 50000개의 RID를 순환하여 수행됩니다.
4. 비밀번호 정책은 samr 파이프를 통해 추출됩니다.

(최상의 결과를 위해 Responder와 함께 사용하세요)

종속성

• Python 3.6
• Impacket v0.9.20-dev or above

설치

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

사용법

먼저 릴레이할 대상 호스트를 찾습니다. 대상은 도메인의 구성원이어야 하며 SMB 서명이 꺼져 있어야 합니다. CrackMapExec를 사용하면 이 정보를 매우 빨리 얻을 수 있습니다!

대상을 가리키며 RidRelay를 시작합니다:

python ridrelay.py -t 10.0.0.50

또는

또한 사용자 이름을 파일로 출력

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

강력 권장: 사용자가 RidRelay에 연결하도록 유도하기 위해 Responder를 시작하세요

감사 인사

특별한 감사를 드립니다:

• Ronnie Flathers (@ropnop) - 낮은 권한의 SMB 릴레이에 대한 원래 아이디어

TODO:

• 비밀번호 정책 열거 추가 - 완료
• 들어오는 자격 증명이 관리자 권한이 있는 위치에 기반한 동적 릴레이
• 활성 세션 가져오기???
• Bloodhound와 연결???
• 이 도구를 간단하게 유지하기로 결정했습니다. 위 기능은 추후 새로운 도구에서 제공될 예정입니다.