Relais NTLM NTLM relay
L'attaque où l'on ne casse pas l'authentification, on la retransmet — la victime s'authentifie auprès de l'attaquant, qui rejoue la même connexion vers un vrai serveur.
NTLM prouve une identité par un défi et une réponse, mais ne prouve jamais à qui la réponse était destinée. Un attaquant qui amène un client à s'authentifier auprès de lui peut donc ouvrir une connexion vers un serveur de fichiers ou un contrôleur de domaine, transmettre le défi, laisser le client répondre, et être admis sous l'identité de cet utilisateur. Aucun mot de passe n'est cassé, aucun hachage n'a même besoin d'être connu. L'outil est en pratique toujours ntlmrelayx d'Impacket, associé à quelque chose qui provoque l'authentification au départ. Les parades sont la signature SMB, la signature LDAP avec channel binding et l'Extended Protection for Authentication — les trois désactivées dans beaucoup trop de domaines.