RidRelay

Быстрый и простой способ получить имена пользователей домена, находясь во внутренней сети.

Свяжитесь со мной: @skorov8

Как это работает

RidRelay объединяет NTLM Relay атаку, обычные запросы на основе lsarpc и циклический перебор RID для получения списка имен пользователей домена. Он выполняет следующие шаги:

1. Запускает SMB и HTTP серверы и ожидает входящего подключения
2. Входящие учетные данные ретранслируются на указанную цель, создавая соединение в контексте ретранслированного пользователя
3. Запросы отправляются по SMB-соединению к каналу lsarpc для получения списка имен пользователей домена. Это делается путем циклического перебора до 50000 RID
4. Политика паролей извлекается через канал samr

(Для достижения наилучших результатов используйте с Responder)

Зависимости

• Python 3.6
• Impacket v0.9.20-dev or above

Установка

pipenv install
pipenv shell

# Optional: Run if installing impacket
git submodule update --init --recursive
cd submodules/impacket
pip install .
cd ../..

Использование

Сначала найдите целевой хост для ретрансляции. Цель должна быть членом домена и ОБЯЗАТЕЛЬНО должна иметь отключенную подпись SMB. CrackMapExec может очень быстро получить эту информацию!

Запустите RidRelay, указав цель:

python ridrelay.py -t 10.0.0.50

ИЛИ

Также вывести имена пользователей в файл

python ridrelay.py -t 10.0.0.50 -o path_to_output.txt

Настоятельно рекомендуется: Запустите Responder, чтобы обманом заставить пользователей подключиться к RidRelay

Благодарности

Огромное спасибо:

• Ronnie Flathers (@ropnop) — оригинальная идея по ретрансляции SMB с низкими привилегиями

TODO:

• Добавить перечисление политики паролей — ГОТОВО
• Динамическая ретрансляция в зависимости от того, где входящие учетные данные имеют права администратора
• Получение активных сессий???
• Подключение к Bloodhound???
• Решено оставить этот инструмент простым. Вышеуказанный функционал появится в новом инструменте на каком-то этапе