SMB Relay 攻击.

NTLM Relay 的一种特定变体,攻击者将受害者的 SMB 认证转发到另一台 SMB 服务器,以受害者身份获取代码执行或文件访问。 它属于网络安全的 攻击与威胁 分类。

NTLM Relay 的一种特定变体,攻击者将受害者的 SMB 认证转发到另一台 SMB 服务器,以受害者身份获取代码执行或文件访问。

SMB Relay 攻击利用 Windows 文件共享在未强制 SMB 签名时的认证机制。攻击者通过 Responder 等手段污染名称解析,或诱导受害者连接到恶意 UNC 路径,从而把自己置于受害主机与目标服务器之间。然后将受害者的 NTLM 认证转发到一个不要求签名的目标 SMB 服务器。如果被转发的身份在目标上拥有本地管理员权限,攻击者就能通过 PsExec 式服务安装执行命令、创建计划任务,或读取敏感共享。最主要的缓解措施是在客户端和服务端都强制 SMB 签名;仅 Kerberos 或仅 LDAPS 的环境可进一步降低暴露面。标志性工具是 Impacket 的 smbrelayx 与 ntlmrelayx 加 -t smb://。

针对 SMB Relay 攻击 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: SMB relaying, 跨协议 SMB Relay。