Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 746

Атака NTLM Relay

Что такое Атака NTLM Relay?

Атака NTLM RelayАтака «человек посередине» (MITRE T1557.001), в которой злоумышленник пересылает NTLM-аутентификацию жертвы другому сервису и выдаёт себя за неё, не зная пароля.

NTLM Relay использует механизм challenge-response в NTLM. Атакующий вынуждает узел-жертву аутентифицироваться к подконтрольной инфраструктуре (через WebDAV, UNC-пути или принуждение типа PetitPotam) и пересылает NTLM-сообщения целевому сервису: LDAP, SMB, веб-регистрации ADCS или MSSQL. Цель принимает корректный отклик на challenge и предоставляет атакующему доступ под учётной записью жертвы. Пароль и хеш в открытом виде не извлекаются, поэтому остановить атаку могут только подписанные протоколы с привязкой к каналу. Меры защиты: обязательная подпись SMB, подпись LDAP и channel binding (EPA), отключение NTLM где возможно, закрытие векторов принуждения. Эталонный инструмент — ntlmrelayx из Impacket.

● Примеры

  1. 01

    Принудить контроллер домена с помощью PetitPotam и переслать его NTLM в ADCS, получив сертификат DC.

  2. 02

    Переслать NTLMv2 рабочей станции на MSSQL с включённым xp_cmdshell для RCE.

● Частые вопросы

Что такое Атака NTLM Relay?

Атака «человек посередине» (MITRE T1557.001), в которой злоумышленник пересылает NTLM-аутентификацию жертвы другому сервису и выдаёт себя за неё, не зная пароля. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Атака NTLM Relay?

Атака «человек посередине» (MITRE T1557.001), в которой злоумышленник пересылает NTLM-аутентификацию жертвы другому сервису и выдаёт себя за неё, не зная пароля.

Как работает Атака NTLM Relay?

NTLM Relay использует механизм challenge-response в NTLM. Атакующий вынуждает узел-жертву аутентифицироваться к подконтрольной инфраструктуре (через WebDAV, UNC-пути или принуждение типа PetitPotam) и пересылает NTLM-сообщения целевому сервису: LDAP, SMB, веб-регистрации ADCS или MSSQL. Цель принимает корректный отклик на challenge и предоставляет атакующему доступ под учётной записью жертвы. Пароль и хеш в открытом виде не извлекаются, поэтому остановить атаку могут только подписанные протоколы с привязкой к каналу. Меры защиты: обязательная подпись SMB, подпись LDAP и channel binding (EPA), отключение NTLM где возможно, закрытие векторов принуждения. Эталонный инструмент — ntlmrelayx из Impacket.

Как защититься от Атака NTLM Relay?

Защита от Атака NTLM Relay обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Атака NTLM Relay?

Распространённые альтернативные названия: NTLM-relay, T1557.001.

● Связанные термины