Bíblia do Relay — Guia de Relay para Testes de Penetração Internos

Uma referência abrangente para ataques de relay NTLM durante testes de penetração internos autorizados. Abrange fundamentos de autenticação, técnicas de coerção, alvos de relay por protocolo, ferramentas, encadeamento avançado e mitigações defensivas.

Pré-requisitos

• Um host de ataque Linux (Kali, Parrot ou similar)
• Python 3.10+ com Impacket instalado
• Acesso de rede ao ambiente alvo (engajamento autorizado)
• Conhecimento básico de Active Directory e redes Windows

Índice

1. Fundamentos

• Teoria de Autenticação e Relay NTLM — Como o NTLM funciona, por que o relay é possível, NTLMv1 vs v2, assinatura, EPA
• Teoria de Autenticação e Relay Kerberos — Troca AS/TGS/AP, canonicalização de SPN, por que o Kerberos ainda é passível de relay
• Identificando Oportunidades de Relay — Enumeração, localizando hosts sem assinatura, mapeamento da superfície de ataque

2. Técnicas de Coerção

• Visão Geral da Coerção — Forçando máquinas a autenticarem no seu listener
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. Alvos de Relay (por protocolo)

• Relay SMB — Relay para SMB visando execução de código
• Relay LDAP / LDAPS — Acesso delegado, criação de contas de máquina, RBCD
• Relay MSSQL — Relay para SQL Server visando execução de comandos
• Relay HTTP / WebDAV — Relay para endpoints web, coerção via WebDAV
• Ataques ADCS (ESC1–ESC15) — Todas as técnicas de escalonamento ADCS, incluindo relay
• Relay SMTP / IMAP — Relay para serviços Exchange/correio
• Relay RPC / DCOM — Relay para endpoints RPC
• Relay via Proxy SOCKS — Manter sessões de relay persistentes via SOCKS

4. Configuração e Uso de Ferramentas

• Responder — Envenenamento e captura de hashes
• ntlmrelayx.py — O framework principal de relay
• mitm6 — Assunção do DNS IPv6 para coerção
• Certipy — Enumeração e relay de ADCS
• Coercer — Ferramenta automatizada de coerção
• krbrelayx — Relay Kerberos e abuso de delegação

5. Técnicas Avançadas

• Relay entre Protocolos — Relay de um protocolo para outro
• Cadeias de Ataque IPv6 — combinações de mitm6 + relay
• Encadeamento de Relay e Pivoting — Cenários de relay multi-hop
• Truque de Coerção via WebDAV — Forçando autenticação HTTP de máquinas
• Relay Kerberos via Abuso de CNAME no DNS — Cymulate / CVE-2026-20929, relay de TGS Kerberos via envenenamento de CNAME

6. Defesa e Detecção

• Mitigações — Assinatura SMB, assinatura LDAP, EPA, desativação do NTLM
• Detecção — Origens de logs, regras Sigma, indicadores comportamentais

---

Referência Rápida: Relay NTLM — O Que Pode Ser Retransmitido Para Onde?

Aplica-se ao relay NTLM clássico em ambientes modernos corrigidos (pós-CVE-2019-1040). Para um detalhamento mais completo entre protocolos, consulte Relay entre Protocolos.

Autenticação de Origem	→ SMB	→ LDAP	→ MSSQL	→ HTTP	→ ADCS	→ SOCKS
SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

* O alvo não deve exigir assinatura SMB † NTLM de origem SMB inclui flags de assinatura no NEGOTIATE, que LDAP e ADCS HTTP impõem — fazendo com que a sessão retransmitida exija uma chave de assinatura que o atacante não possui. É por isso que a autenticação de origem WebDAV/HTTP é preferida para relay de LDAP e ADCS.

Referência Rápida: Relay Kerberos via Abuso de CNAME no DNS

A primitiva Cymulate / CVE-2026-20929 (jan. 2026) — o atacante envenena o DNS com um CNAME, o Windows canonicaliza o SPN, o cliente solicita um TGS para o alvo escolhido pelo atacante, e o AP-REQ é retransmitido. Como muitos serviços aceitam tickets com base apenas na porção DNS do SPN, a classe do SPN de origem importa muito menos do que no relay NTLM — o que limita o ataque é se o serviço alvo impõe seu próprio controle anti-relay.

Serviço alvo	Passível de relay a menos que...	Patch / status
SMB	A assinatura SMB é obrigatória no alvo	—
LDAP	A assinatura LDAP é obrigatória	—
LDAPS	LdapEnforceChannelBinding = 2 (Always)	—
HTTP / IIS	CBT HTTP imposto (verificação de token do HTTP.sys = Require)	CVE-2026-20929 adiciona o CBT do HTTP.sys
ADCS /certsrv/	Proteção Estendida = Require no vdir	O CBT do HTTP.sys via CVE-2026-20929 se aplica
MSSQL	Proteção Estendida habilitada	—
Exchange (OWA/ECP/…)	EPA em todos os diretórios virtuais	—