NTLM 中继与强制认证实战

问题定位

在网络渗透中，拿到部分内网节点后，常见瓶颈是缺少高权限路径：凭据散落在 LLMNR、NBT-NS、WPAD、mDNS 响应中，或者需要触发目标主动发起 NTLM 认证。基础模型容易忽略 NTLMv1、NTLMv2、协议签名、EPA、通道绑定以及跨协议中继限制，导致把可中继场景误判为只能抓 hash。

技能如何工作

该技能把攻击链拆成可检查的决策点：

• 凭据捕获：使用 Responder 对 LLMNR、NBT-NS、WPAD、mDNS 做投毒，区分离线破解与直接中继。
• 中继目标选择：围绕 SMB、LDAP、LDAPS、HTTP (ADCS)、MSSQL、IMAP/SMTP、RPC 判断可获得权限、默认签名要求与通道绑定。
• 执行路径：通过 NTLMRelayX 或同类工具将捕获的认证重放到 SMB、LDAP、ADCS 或 MSSQL；必要时结合 mitm6 做 IPv6 DNS 接管。
• 强制认证：用 WebDAV、PetitPotam、PrinterBug、DFSCoerce 等方法触发目标认证，优先利用 WebClient 把 SMB 类触发转成 HTTP 路径，规避部分 SMB signing 限制。

边界与注意点

资料属于红队 / 渗透测试知识，需限定在授权范围。生产环境中应把该 playbook 视为检测清单：监控异常 Responder 流量、跨协议 NTLM 认证、ADCS 异常申请、xp_cmdshell 调用以及 RBCD、shadow creds 相关 LDAP 变更。