RidRelay

Uma maneira rápida e fácil de obter nomes de usuário do domínio enquanto estiver em uma rede interna.

Contate-me: @skorov8

Como funciona

O RidRelay combina o ataque de retransmissão NTLM, consultas comuns baseadas em lsarpc e ciclagem de RID para obter uma lista de nomes de usuário do domínio. Ele executa as seguintes etapas:

1. Inicia servidores SMB e HTTP e aguarda uma conexão de entrada
2. As credenciais recebidas são retransmitidas para um destino especificado, criando uma conexão com o contexto do usuário retransmitido
3. Consultas são feitas através da conexão SMB para o pipe lsarpc para obter a lista de nomes de usuário do domínio. Isso é feito ciclando até 50.000 RIDs
4. A política de senhas é extraída através do pipe samr

(Para melhores resultados, use com o Responder)

Dependências

• Python 3.6
• Impacket v0.9.20-dev ou superior

Instalação

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

Uso

Primeiro, encontre um host de destino para retransmitir. O destino deve ser membro do domínio e DEVE ter a Assinatura SMB desativada. O CrackMapExec pode obter essas informações muito rapidamente!

Inicie o RidRelay apontando para o destino:

python ridrelay.py -t 10.0.0.50

OU

Também pode exportar nomes de usuário para um arquivo

python ridrelay.py -t 10.0.0.50 -o caminho_para_saida.txt

Altamente Recomendado: Inicie o Responder para enganar usuários e fazê-los se conectar ao RidRelay

Agradecimentos especiais

Muitos créditos para:

• Ronnie Flathers (@ropnop) - Ideia original sobre retransmissão SMB com privilégios baixos

TODO:

• Adicionar enumeração da política de senhas - CONCLUÍDO
• Retransmissão dinâmica baseada em onde as credenciais recebidas têm direitos de administrador
• Obter sessões ativas???
• Conectar com o Bloodhound???
• Decidiu manter esta ferramenta simples. A funcionalidade acima virá em uma nova ferramenta em algum momento