Релейная Библия — Руководство по ретрансляции для внутреннего пентеста

Полное руководство по атакам с ретрансляцией NTLM в рамках авторизованных внутренних пентестов. Охватывает основы аутентификации, методы принуждения, цели ретрансляции по протоколам, инструменты, продвинутое связывание и защитные меры.

Предварительные требования

• Хост атакующего с Linux (Kali, Parrot или аналогичный)
• Python 3.10+ с установленным Impacket
• Сетевой доступ к целевой среде (авторизованное соглашение)
• Базовое понимание Active Directory и сетевого взаимодействия Windows

Содержание

1. Основы

• Теория аутентификации NTLM и ретрансляции — Как работает NTLM, почему возможна ретрансляция, NTLMv1 vs v2, подпись, EPA
• Теория аутентификации Kerberos и ретрансляции — Обмен AS/TGS/AP, канонизация SPN, почему Kerberos всё ещё можно ретранслировать
• Выявление возможностей для ретрансляции — Перебор, поиск хостов без подписи, картографирование поверхности атаки

2. Методы принуждения

• Обзор принуждения — Принуждение машин к аутентификации на ваш слушатель
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. Цели ретрансляции (по протоколам)

• Ретрансляция SMB — Ретрансляция на SMB для выполнения кода
• Ретрансляция LDAP / LDAPS — Делегирование доступа, создание учётных записей машин, RBCD
• Ретрансляция MSSQL — Ретрансляция на SQL Server для выполнения команд
• Ретрансляция HTTP / WebDAV — Ретрансляция на веб-конечные точки, принуждение через WebDAV
• Атаки на ADCS (ESC1–ESC15) — Все техники повышения прав ADCS, включая ретрансляцию
• Ретрансляция SMTP / IMAP — Ретрансляция на Exchange/почтовые службы
• Ретрансляция RPC / DCOM — Ретрансляция на конечные точки RPC
• Ретрансляция через SOCKS-прокси — Поддержание постоянных сессий ретрансляции через SOCKS

4. Настройка и использование инструментов

• Responder — Отравление и захват хэшей
• ntlmrelayx.py — Основной фреймворк для ретрансляции
• mitm6 — Захват DNS IPv6 для принуждения
• Certipy — Перебор ADCS и ретрансляция
• Coercer — Автоматизированный инструмент принуждения
• krbrelayx — Ретрансляция Kerberos и злоупотребление делегированием

5. Продвинутые техники

• Кросс-протокольная ретрансляция — Ретрансляция из одного протокола в другой
• Цепочки атак с IPv6 — Комбинации mitm6 + ретрансляция
• Связывание ретрансляции и пивотинг — Многошаговые сценарии ретрансляции
• Трюк принуждения через WebDAV — Принуждение HTTP-аутентификации с машин
• Ретрансляция Kerberos через злоупотребление CNAME DNS — Cymulate / CVE-2026-20929, ретрансляция TGS Kerberos через отравление CNAME

6. Защита и обнаружение

• Смягчение — Подпись SMB, подпись LDAP, EPA, отключение NTLM
• Обнаружение — Источники журналов, правила Sigma, поведенческие индикаторы

---

Краткая справка: Ретрансляция NTLM — Что можно ретранслировать куда?

Относится к классической ретрансляции NTLM в современных пропатченных средах (после CVE-2019-1040). Для более детального межпротокольного разбора см. Кросс-протокольная ретрансляция.

Исходная аутентификация	→ SMB	→ LDAP	→ MSSQL	→ HTTP	→ ADCS	→ SOCKS
SMB	✅*	❌†	✅	✅	❌†	✅
HTTP	✅*	✅	✅	✅	✅	✅
WebDAV	✅*	✅	✅	✅	✅	✅
MSSQL	✅*	✅	✅	✅	✅	✅

* Цель не должна требовать подпись SMB † NTLM из источника SMB включает флаги подписи в NEGOTIATE, которые LDAP и ADCS HTTP требуют — из-за чего сессия ретрансляции требует ключ подписи, которого у атакующего нет. Поэтому для ретрансляции на LDAP и ADCS предпочитают аутентификацию из WebDAV/HTTP.

Краткая справка: Ретрансляция Kerberos через злоупотребление CNAME DNS

Примитив Cymulate / CVE-2026-20929 (январь 2026) — атакующий отравляет DNS с помощью CNAME, Windows канонизирует SPN, клиент запрашивает TGS для выбранной атакующим цели, AP-REQ ретранслируется. Поскольку многие службы принимают билеты только на основе DNS-части SPN, класс исходного SPN имеет гораздо меньшее значение, чем в ретрансляции NTLM — атака ограничивается тем, применяет ли целевая служба собственный контроль антиретрансляции.