Responder-MultiRelay の使い方徹底解説 実践ガイド

内部ネットワークへのペネトレーションテストにおいて、初期の足掛かりを得るために Responder というツールがよく用いられます。Responder は、ネットワーク内で名前解決に失敗した通信を傍受し、認証情報を取得する機能を持っています。しかし、取得したハッシュ化されたパスワード（NTLM ハッシュ）が複雑で解読できない場合もあります。

そこで登場するのが、Responder に同梱されている MultiRelay です。MultiRelay は、Responder が傍受した認証情報を、ネットワーク内の別のマシンに「中継（リレー）」することで、パスワードを解読することなく、そのマシンへのアクセス権を取得しようと試みるツールです。これを NTLM リレー攻撃と呼びます。🎯

このブログ記事では、Responder と MultiRelay を連携させた NTLM リレー攻撃の仕組みと、その具体的な使い方、そして重要な防御策について詳しく解説していきます。

連携の仕組み

Responder と MultiRelay は連携して動作します。Responder が名前解決のポイズニングと認証情報の傍受を担当し、MultiRelay がその認証情報をターゲットに中継してアクセスを試みます。この連携により、パスワードを直接知ることなく、ネットワーク内の他のマシンへのアクセス権を獲得できる可能性があります。

MultiRelay が行う NTLM リレー攻撃は、NTLM 認証プロトコルの仕組みと、特定のネットワーク設定の不備を利用します。

1. 名前解決ポイズニング: ユーザーが存在しないファイル共有などにアクセスしようとすると、Windows は LLMNR や NBT-NS を使って名前解決を試みます。Responder はこれらの要求を監視し、自身が目的のサーバーであるかのように応答します。
2. 認証要求の傍受: クライアントは Responder を正規のサーバーと信じ、NTLM 認証プロセスを開始します。Responder はこの認証要求 (NTLM チャレンジ/レスポンス) を受け取ります。
3. MultiRelay への転送: Responder は傍受した認証情報を MultiRelay に渡します。
4. ターゲットへのリレー: MultiRelay は、受け取った認証情報を、攻撃者が指定したターゲットマシンに転送します。
5. 認証とアクセス: ターゲットマシンが以下の条件を満たす場合、リレーされた認証が成功する可能性があります。
   • SMB 署名が無効または必須でない: ターゲットマシンで SMB 署名が必須になっていない場合、中間者攻撃を防ぐ検証が行われないため、リレーが成功しやすくなります。これが最も重要な条件です。
   • ユーザー権限: リレーされた認証情報に対応するユーザーアカウントが、ターゲットマシン上で管理者権限などの十分な権限を持っている場合。
6. コマンド実行など: 認証が成功すると、MultiRelay はターゲットマシン上でコマンドを実行したり、SAM (Security Account Manager) データベースのハッシュをダンプしたり、対話的なシェルを取得したりできます。

重要な点として、MS08-068 のパッチ以降、認証情報を取得したマシン自身にその認証情報をリレーすることはできません。また、Responder で事前に収集して保存したハッシュをリレーすることはできず、リアルタイムの認証要求のみが対象となります。

MultiRelay を使用するには、まず Responder をセットアップし、特定の設定を行う必要があります。Responder は Kali Linux にデフォルトで含まれていることが多いですが、最新版を GitHub から取得することも推奨されます。

1. Responder の設定変更

MultiRelay を使用する場合、Responder 自体の SMB サーバーと HTTP サーバーを無効にする必要があります。これは、MultiRelay がこれらのポート (TCP 445 および TCP 80) を使用してリレー攻撃を行うためです。

Responder の設定ファイル (`/etc/responder/Responder.conf` や、Responder のディレクトリ内の `Responder.conf`) を編集します。

[Responder Core]
; Servers to start
; -- You can turn on/off the servers --
; Activate or deactivate the SMB Server
SMB = Off

; Activate or deactivate the HTTP Server
HTTP = Off

上記のように `SMB` と `HTTP` の値を `Off` に変更して保存します。

2. Responder の起動

設定を変更したら、Responder を起動します。インターフェースを指定し、必要に応じてオプションを追加します。`-I` でネットワークインターフェース名を指定します。`-v` (verbose) をつけると詳細なログが表示されます。

sudo python Responder.py -I eth0 -v

起動時のログで、SMB Server と HTTP Server が `[OFF]` になっていることを確認してください。

[+] SMB Server status:         [OFF]
[+] HTTP Server status:        [OFF]

3. MultiRelay の起動

Responder が動作している状態で、別のターミナルを開き、MultiRelay を起動します。MultiRelay は Responder の `tools` ディレクトリ内にあります。

基本的な構文は以下の通りです。

sudo python tools/MultiRelay.py -t <ターゲットIP> -u <ユーザー名 or ALL> [-c <コマンド>] [-d]

• -t <ターゲットIP>: NTLM 認証をリレーする先のターゲットマシンの IP アドレスを指定します。
• -u <ユーザー名 or ALL>: リレー対象とするユーザーアカウントを指定します。特定のユーザー名（例: `Administrator`）や、すべてのユーザーを対象とする場合は `ALL` を指定します。
• -c <コマンド> (オプション): 認証成功時にターゲットマシンで実行するコマンドを指定します。
• -d (オプション): 認証成功時にターゲットマシンのローカルアカウントのパスワードハッシュ（SAM ハッシュ）をダンプします。

例: ターゲット IP `192.168.1.100` に対して、すべてのユーザーの認証をリレーし、成功したら SAM ハッシュをダンプする場合：

sudo python tools/MultiRelay.py -t 192.168.1.100 -u ALL -d

例: ターゲット IP `192.168.1.150` に対して、ユーザー `AdminUser` の認証のみをリレーし、成功したらインタラクティブシェルを取得する場合（`-c` や `-d` を指定しない）：

sudo python tools/MultiRelay.py -t 192.168.1.150 -u AdminUser

4. 攻撃の実行と待機

Responder と MultiRelay が起動したら、ネットワーク内のクライアントが Responder によってポイズニングされるのを待ちます。ユーザーが存在しない共有フォルダにアクセスしたり、ホスト名をタイプミスしたりすると、Responder が応答し、認証情報が MultiRelay に渡され、ターゲットへのリレーが試行されます。

MultiRelay は、リレー試行の状況や結果をターミナルに表示します。認証が成功すれば、指定したアクション（コマンド実行、ハッシュダンプ、シェル取得）が実行されます。💻

ここでは、MultiRelay を使用した具体的な攻撃シナリオをいくつか紹介します。

MultiRelay には、より詳細な制御や特定の状況に対応するためのオプションがあります。

• ターゲットリストファイルの使用 (-tf): 単一のターゲット IP の代わりに、複数のターゲット IP を記述したファイルを指定できます。
  

  sudo python tools/MultiRelay.py -tf targets.txt -u ALL

  `targets.txt` には、1行に1つの IP アドレスを記述します。
• 特定のユーザーのみを対象 (-u): -u ALL の代わりに、特定のユーザー名（例: -u Administrator DOMAIN\BackupAdmin のようにスペース区切りで複数指定可能）を指定することで、リレー対象を絞り込み、ノイズを減らすことができます。これは、特権アカウントのみを狙う場合に有効です。
• 追加ポートでのリッスン (-p): 標準のポート（80, 445）以外に、HTTP/WebDAV/Proxy リクエストをリレーするために追加のポートを指定できます。
• インタラクティブシェルコマンド: シェルを取得した場合、mimi (Mimikatz実行)、get/put (ファイル転送)、reg_read/reg_save (レジストリ操作)、run (コマンド実行) などの組み込みコマンドを利用して、ターゲットシステムをさらに調査・操作できます。

トラブルシューティング

• リレーが成功しない:
  • ターゲットマシンで SMB 署名が必須になっている可能性があります。`RunFinger.py` で確認してください。
  • リレーしようとしているユーザーが、ターゲットマシン上で十分な権限を持っていない可能性があります。
  • ネットワーク経路上のファイアウォールなどが通信をブロックしている可能性があります。
  • Responder の設定で SMB/HTTP が Off になっているか再確認してください。
• エラーメッセージが出る: エラーメッセージの内容を確認し、必要なライブラリがインストールされているか、権限（sudo など）が適切かを確認してください。場合によっては、MultiRelay が依存する外部バイナリ（`Runas.exe`, `Syssvc.exe` など）のコンパイルが必要になることがあります。

Responder と MultiRelay による NTLM リレー攻撃は強力ですが、適切な対策を講じることでリスクを大幅に軽減できます。

これらの対策を組み合わせることで、NTLM リレー攻撃のリスクを効果的に管理できます。特に SMB 署名の強制は、最も重要な対策の一つです。

Responder と MultiRelay は、ペネトレーションテストにおいて、ネットワーク内部のセキュリティ体制を評価するための強力なツールです。Responder が LLMNR/NBT-NS ポイズニングによって認証情報を傍受し、MultiRelay がその認証情報を SMB 署名が無効なターゲットにリレーすることで、パスワードをクラックすることなくシステムへのアクセス権を得られる可能性があります。

この攻撃の成功は、SMB 署名が無効であること、リレーされるアカウントがターゲットに対して権限を持つことなど、いくつかの条件に依存します。攻撃者にとっては効率的な手法ですが、防御側にとっては深刻な脅威となりえます。

最も重要な対策は、SMB 署名を有効化し、強制することです。加えて、LLMNR/NBT-NS の無効化、ネットワークセグメンテーション、特権アクセス管理などの対策を組み合わせることで、NTLM リレー攻撃のリスクを大幅に低減できます。

これらのツールと攻撃手法を理解することは、自組織のネットワークを保護するために不可欠です。常に最新のセキュリティ情報を把握し、適切な対策を講じることが重要です。そして、これらのツールは倫理的に、許可された範囲でのみ使用するようにしてください。🔒