SMBRelay的報(bào)復(fù)打擊是一種很好的滲入手藝，即便方針辦事器補(bǔ)丁打的比較勤，SMBRelay報(bào)復(fù)打擊仍然可能滲入到你首要辦事器。
NTLM是一種挑戰(zhàn)/響應(yīng)驗(yàn)證機(jī)制，在SMBRelay報(bào)復(fù)打擊中，報(bào)復(fù)打擊者要以中間人報(bào)復(fù)打擊編制來(lái)實(shí)施。報(bào)復(fù)打擊者等候或人來(lái)驗(yàn)證在他收集上的方針辦事器。如許一來(lái)可以操縱縫隙掃描器+治理員主動(dòng)驗(yàn)證主機(jī)腳本。當(dāng)主動(dòng)化過(guò)程連接到報(bào)復(fù)打擊者，他經(jīng)由過(guò)程他的方針(收集上的其他系統(tǒng)，或許是辦事器)進(jìn)行身份驗(yàn)證。方針會(huì)產(chǎn)生挑戰(zhàn)(challenge)，并將其發(fā)送給報(bào)復(fù)打擊者。報(bào)復(fù)打擊者發(fā)送挑戰(zhàn)回到原始掃描系統(tǒng)的。掃描系統(tǒng)具有哈希值的加密功能準(zhǔn)確暗碼的哈希值會(huì)將其發(fā)送給報(bào)復(fù)打擊者。報(bào)復(fù)打擊者傳遞準(zhǔn)確的加密的響應(yīng)返回給他的方針，并成功驗(yàn)證。
POC：
報(bào)復(fù)打擊者IP - 10.10.12.10
方針I(yè)P - 10.10.12.20
每晚清單掃描器IP - 10.10.12.19
操縱Metasploit的smb_relay模塊，報(bào)復(fù)打擊者10.10.12.10，Metasploit以下：
利用一個(gè)簡(jiǎn)單的Windows for輪回來(lái)摹擬掃描辦事器的收集。我運(yùn)行以下的號(hào)令。
當(dāng)掃描器(10.10.12.19)連接到10.10.12.10(我的Metasploit監(jiān)聽(tīng))驗(yàn)證測(cè)驗(yàn)測(cè)驗(yàn)會(huì)傳遞到方針辦事器(10.10.12.20)。
Metasploit主動(dòng)利用的驗(yàn)證SMB會(huì)話,Meterpreter就會(huì)對(duì)方針倡議payload。
以下圖所示，寄望Metasploit，清單掃描器在發(fā)送一個(gè)“Access Denied”時(shí)，它試圖連接到10.10.12.10?？墒?，
我們獲得了一個(gè)報(bào)復(fù)打擊者的機(jī)械上運(yùn)行Meterpreter shell的方針(10.10.12.20)。
Metasploit的SMBRelay只撐持NTLMv1，是以經(jīng)由過(guò)程改變一下設(shè)置便可呵護(hù)本身免受這類報(bào)復(fù)打擊(可輸進(jìn)secpol.msc)…
改成NTLMv2后再次測(cè)驗(yàn)測(cè)驗(yàn)Metasploit
運(yùn)行了Metasploit exploit，獲得了“Failed to authenticate(驗(yàn)證掉敗)”弊端信息。
由此看來(lái)DRAT的安然和談已挫敗了我們的打算。
不外，不消擔(dān)憂，此刻國(guó)外某安然團(tuán)隊(duì)開(kāi)辟了一個(gè)由python實(shí)現(xiàn)的p***ec模塊與IMPACKET模塊的整合體：SMBRELAYX.PY。
IMPACKET模塊里的SMBRELAYX.PY腳本是帶有NTLMv2的撐持! 下載地址
你需要下載最新版本的IMPACKET模塊啟動(dòng)運(yùn)行。為體味決路徑標(biāo)題問(wèn)題，我把所有的實(shí)例和其他模塊都放到了統(tǒng)一個(gè)目次中，然后改變import以指定準(zhǔn)確的目次。 SMBRELAYX需要身份驗(yàn)證后在長(zhǎng)途主機(jī)上運(yùn)行可履行文件。讓Meterpreter利用msfpayload成立一個(gè)EXE文件，然后設(shè)置SMBRELAYX。 Smbrelayx.py需要兩個(gè)參數(shù)：
-h是你所要報(bào)復(fù)打擊的主機(jī); -e 是在長(zhǎng)途主機(jī)上啟動(dòng)過(guò)程。
供給了這些選項(xiàng)，就坐下來(lái)等候，夜間清單掃描器(10.10.12.19)連接到您的系統(tǒng)。
下面，我成立的Meterpreter可履行文件，并調(diào)用smbrelayx.py來(lái)履行msfpayload：
因?yàn)槲覀兝玫氖?meterpreter reverse shell我們還必需要設(shè)置Metasploit。所以，它是預(yù)備領(lǐng)受payload連接后才開(kāi)端履行方針。
multi/handler
此刻，試圖將(10.10.12.19)連接到報(bào)復(fù)打擊者的Linux(10.10.12.10)。
我們獲得了一個(gè) ”System cannot find the path specified(系統(tǒng)找不到指定的路徑)” 弊端，而這個(gè)弊端會(huì)讓系統(tǒng)治理員可能會(huì)質(zhì)疑，為甚么他的用戶名和暗碼在沒(méi)有方針工作之前，為甚么路徑會(huì)不存在。smbrelayx.py腳本發(fā)出的信息返回給了治理員，加倍埋沒(méi)的Metasploit信息，就不太可能寄望獲得了。我們當(dāng)即看到產(chǎn)生在 smbrelayx.py腳本環(huán)境。它會(huì)驗(yàn)證10.10.12.20。10.10.12.19利用用戶名和暗碼來(lái)啟動(dòng)Meterpreter辦事過(guò)程。
payload傳遞到方針以后NTLMv2驗(yàn)證終了 ，為了使shell不變，我們需要快速地遷徙到另外一個(gè)更不變的過(guò)程(我們可在Meterpreter利用一個(gè)遷徙腳本來(lái)幫忙主動(dòng)化遷徙)。
全新的Meterpreter shell 它是一個(gè)Python模塊，你可以把這個(gè)腳本納進(jìn)到你本身的主動(dòng)報(bào)復(fù)打擊東西中。