NTLM y por qué la retransmisión funciona

3 tareas · 40 min · Principiante

El protocolo NTLM opera mediante un esquema de desafío-respuesta en tres pasos. Cuando los servicios receptores no exigen firmas criptográficas ni vinculación de canal, las respuestas de autenticación pueden ser retransmitidas hacia otros sistemas de la red. En esta sala se inspecciona la evidencia de tráfico y configuración de servidores en Constructora Andes Central.

0 de 3 · 0%

Objetivo de la sala

En una autenticación NTLMv2 típica, el cliente envía un mensaje tipo 1 (NEGOTIATE), el servidor responde con un desafío tipo 2 (CHALLENGE que contiene un valor nonce aleatorio de 8 bytes), y el cliente devuelve un mensaje tipo 3 (AUTHENTICATE) con la respuesta NetNTLMv2 calculada sobre el desafío.

Inspecciona la tabla captura_ntlm y localiza el equipo de la red de obras que generó la sesión SES-901 completando el mensaje tipo 3 de autenticación.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla captura_ntlm, ¿cuál es el nombre del equipo de origen que envió el mensaje AUTHENTICATE_MESSAGE en la sesión SES-901?

Ver pista de ayuda

Consulta la columna origen_host en la fila correspondiente a SES-901.

El riesgo de retransmisión NTLM (NTLM Relay) no radica en romper el hash de la contraseña, sino en interceptar el desafío y la respuesta de una víctima legítima para reenviarlos a otro servicio que acepte la misma identidad. Para que la retransmisión contra el servicio SMB tenga éxito, el servidor destino debe tener la firma de paquetes (SMB signing) configurada como opcional o deshabilitada.

Consulta la tabla config_smb e identifica el servidor de la organización que mantiene la directiva de firma SMB en estado no requerido, permitiendo la retransmisión de conexiones.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla config_smb, ¿cuál es el host del servidor que presenta alto riesgo de retransmisión por tener smb_signing_requerido en false?

Ver pista de ayuda

Busca el registro cuya columna riesgo_retransmision indique ALTO_SIN_FIRMA_REQUERIDA.

Para neutralizar de raíz los ataques de retransmisión NTLM en una red corporativa, el equipo de seguridad debe aplicar configuraciones que garanticen la integridad de la sesión o impidan el uso de NTLM en favor de Kerberos.

¿Cuál es la combinación de controles recomendada para mitigar el ataque de retransmisión NTLM en servidores y controladores de dominio?

Responde para continuar

¿Qué conjunto de medidas técnicas elimina de forma efectiva el riesgo de retransmisión NTLM en la infraestructura interna?

Desactivar las directivas de auditoría de inicio de sesión en el controlador de dominio. Abrir el puerto TCP 445 en el cortafuegos perimetral para permitir auditorías externas. Cambiar el nombre del dominio NetBIOS y reducir la longitud mínima de contraseña a 8 caracteres. Exigir firma SMB obligatoria en todos los servidores y habilitar Extended Protection for Authentication (EPA) en LDAP y HTTP.

Ver pista de ayuda

La firma digital en SMB y la vinculación de canal (EPA) invalidan los paquetes modificados o retransmitidos por terceros.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Constructora Andes Central · Auditoría de tráfico NTLM (datos de ejemplo)

Consola de lectura · salidas guardadas

Tablas

captura_ntlm

id_sesion
origen_host
destino_host
protocolo
tipo_mensaje
version_ntlm

config_smb

host
rol_servidor
smb_signing_requerido
smb_signing_habilitado
riesgo_retransmision

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Origen de la autenticación de red Lab

2 Servidores sin firma requerida Lab

3 Controles defensivos ante retransmisión

Whoami-Labs Pro utiliza cookies