В прошлом посте разобрали Responder и увидели типичную цепочку:
LLMNR / NBT-NS
↓
Responder
↓
NTLM-аутентификация
Теперь следующий логичный вопрос:
Что происходит, если эти данные не подбирать, а попытаться использовать сразу?
Здесь и появляется NTLM Relay.
🔁 Что такое NTLM Relay?
NTLM Relay — это техника, при которой атакующий не подбирает пароль, а перенаправляет NTLM-аутентификацию пользователя на другой сервер.
Упрощённо:
Пользователь
↓
NTLM-аутентификация
↓
Атакующий
↓
Перенаправление
↓
Другой сервер
📌 Главное: пароль при этом может вообще не быть известен.
Причём здесь SMB Signing?
Если на SMB-сервере:
SMB Signing = Required
классический SMB Relay становится значительно сложнее.
Если же:
SMB Signing = Enabled but not required
сервер может принимать неподписанные SMB-сессии, что создаёт условия для relay-атаки.
Почему это опасно?
Если перенаправить аутентификацию пользователя, у которого есть повышенные права на целевом сервере, атакующий может получить доступ с его привилегиями.
Поэтому здесь сразу сходятся несколько тем:
NTLM
↓
Responder
↓
SMB Signing
↓
NTLM Relay
↓
Права пользователя
🛡 Как защищаться
— требовать SMB Signing;
— сокращать использование NTLM;
— отключать LLMNR/NBT-NS там, где они не нужны;
— использовать принцип минимальных привилегий;
— не работать постоянно под административными учётными записями.
📌 Главная мысль
NTLM Relay — это не взлом пароля, а использование уже происходящей NTLM-аутентификации против другого сервиса.
#ntlm #ntlmrelay #smb #responder #windows #ad #pentest