| title | permalink |
|---|---|
NTLM Relay |
/NTLM_Relay/ |
Cet article tente de présenter les attaques de type "Relai NTLM". Le principe de base de ce type d'attaque est:
- Forcer un utilisateur à effectuer une connexion sur la machine de l'attaquant
- Tenter d'accéder à un service cible
- Relayer l'authentification pour le service cible auprès de la victime
- PROFIT !
Il existe de nombreuses méthodes pour forcer une connexion vers la machine attaquante. Voir l'article Places of Interest in Stealing NetNTLM Hashes.
Certains scénarios pratiques sont:
- Man in the middle (Responder)
- Base de donnée MS SQL (avec xp_dirtree)
- Ajouter un fichier (.lnk) sur un partage
Il est nécessaire de prendre en compte le serveur cible (machine de la victime ou machine tierce) et le service cible. Dans le cas du serveur cible:
- S'il s'agit de la machine de la victime alors ce n'est normalement pas possible. Faire un "reflective relay" de SMB vers SMB n'est pas possible à cause de MS08-067 et faire un relai "cross-protocol" ne semble pas possible sur les machines récentes (fortra/impacket#451).
- Pour une machine tierce pas de problème spécifique. Le fonctionnement va dépendre du service.
On cherchera généralement à relayer vers SMB, LDAP ou LDAPS. Dans des cas plus spécifiques on pourrait vouloir relayer vers du MS-SQL (pour faire du xp_cmdshell ou xp_dirtree) ou vers du HTTP. Il est cependant nécessaire de prendre en compte le type de connexion effectué par l'utilisateur. Les deux cas les plus courants seront SMB ou HTTP.
Si l'utilisateur vient se connecter en SMB on sera limité à du relay SMB -> SMB. Ceci permet de:
- Prendre le contrôle d'un machine si l'utilisateur est Administrateur local
- Accéder à un partage réseau
Il n'est pas possible de relayer vers un Active Directory en raison du SMB Signing.
Si l'utilisateur vient se connecter en HTTP on pourra faire du relai vers d'autres protocoles (SMB, LDAP, LDAPS, IMAP, MS SQL)