Microsoft выставляет SMB signing = required только на DC. На member servers — file, print, application, terminal — по умолчанию стоит negotiate. Это значит: если атакующий перехватит NTLM-хендшейк, подпись можно даунгрейднуть и зарелеить аутентификацию в шару другого хоста через ntlmrelayx. Если перехваченная учётка имеет там админские права — компрометация готова.
🎯 Что проверяет атакующий за три команды nmap:
•
-sn по подсети — список живых хостов•
-p 88,389,445,636 — отсев DC от member servers•
--script smb-security-mode — на каких member servers signing в статусе disabledТри команды — и готовый список целей для NTLM relay.
SMB signing = disabled стабильно встречается на свежих серверах 2025–2026 года, не только на legacy-инфраструктуре. Microsoft не меняет дефолтные политики для member servers, а админы исходят из того, что в современной Windows всё настроено безопасно из коробки. Атакующему это на руку — один Nmap-скан находит все уязвимые хосты сразу.
🔍 В статье — полная шпаргалка Nmap для AD: NSE-скрипты под LDAP/Kerberos/SMB, маппинг на MITRE ATT&CK и gotcha-моменты из практики (например,
-sS без sudo молча падает в -sT — скан идёт полным TCP-хендшейком и светится в логах целевой машины).https://codeby.net/threads/nmap-shpargalka-komandy-dlya-pentesta-active-directory.92733/