VPN Проблема с NTLM-Relay через VPN. Маршруты, трафик и ограничения

[learning_dzen]

Всем доброго времени суток
Я столкнулся с проблемой при попытке реализации NTLM-Relay-атаки

Суть в следующем:

Тестовая среда:
VPN подключение через Forti SSL-VPN.
NTLM-хеши ловлю с помощью Responder.
SMB-сертификаты не требуют подписи (проверено).
SMBv1 включен (True).

Специально настроил лабу на то чтобы SMB не требовало подписи, через gpedit and regedit

При подключении через VPN DC - как будто не отправляет запросы через LLMNR или NetBIOS ко мне на виртуальную машину. Responder молчит, никакие хэши не прилетают
Более того, даже при использовании PetitPotam для генерации EFSRPC-запросов, результат нулевой — ответа нет (attack worked)

По проверкам:
Пинг до моей виртуалки с DC недоступен (хотя маршруты настроены).
Пробовал HTTP-запросы, WPAD, SMB-подключения — ничего не работает
Думаю, что VPN может блокировать трафик от DC ко мне (например, Fortinet фильтрует).
Маршрутизация настроена, но ощущение, что DC вообще не видит мою виртуалку

Собственно, я с NTLM-Relay очень плохо знаком и возможно не понимаю банального
Есть ли идеи, как заставить DC инициировать хоть какое-то соединение ко мне по SMB, HTTP, или любому другому протоколу?
Какие еще настройки маршрутов/туннелей можно проверить или изменить?
Может ли VPN блокировать обратный трафик от DC к моему ip? Есть ли у Forti SSL-VPN и аналогов VPN механизмы фильтрации такого рода?

Любые советы, идеи, или подсказки о том, что еще можно протестировать, будут очень ценны. Возможно, я что-то упускаю или неправильно интерпретирую поведение сети.

Спасибо заранее!

 

[qwerty1337]

L3 жесток

 

[CCod]

Всем доброго времени суток
Я столкнулся с проблемой при попытке реализации NTLM-Relay-атаки

Суть в следующем:

Тестовая среда:
VPN подключение через Forti SSL-VPN.
NTLM-хеши ловлю с помощью Responder.
SMB-сертификаты не требуют подписи (проверено).
SMBv1 включен (True).

Специально настроил лабу на то чтобы SMB не требовало подписи, через gpedit and regedit

При подключении через VPN DC - как будто не отправляет запросы через LLMNR или NetBIOS ко мне на виртуальную машину. Responder молчит, никакие хэши не прилетают
Более того, даже при использовании PetitPotam для генерации EFSRPC-запросов, результат нулевой — ответа нет (attack worked)

По проверкам:
Пинг до моей виртуалки с DC недоступен (хотя маршруты настроены).
Пробовал HTTP-запросы, WPAD, SMB-подключения — ничего не работает
Думаю, что VPN может блокировать трафик от DC ко мне (например, Fortinet фильтрует).
Маршрутизация настроена, но ощущение, что DC вообще не видит мою виртуалку

Собственно, я с NTLM-Relay очень плохо знаком и возможно не понимаю банального
Есть ли идеи, как заставить DC инициировать хоть какое-то соединение ко мне по SMB, HTTP, или любому другому протоколу?
Какие еще настройки маршрутов/туннелей можно проверить или изменить?
Может ли VPN блокировать обратный трафик от DC к моему ip? Есть ли у Forti SSL-VPN и аналогов VPN механизмы фильтрации такого рода?

Любые советы, идеи, или подсказки о том, что еще можно протестировать, будут очень ценны. Возможно, я что-то упускаю или неправильно интерпретирую поведение сети.

Спасибо заранее!

любой корп впн не даст тебе бэкконнект до твоей тачки
респондер не будет воркать через L3

 

[Gerion]

При подключении по VPN ты попадаешь в подсеть с DC или выделенную подсеть межсетевого экрана, которая маршрутизирована к DC?

 

[learning_dzen]

Подключаюсь в отдельную подсеть через VPN, маршруты к DC вроде есть, но походу моя подсеть изолирована или фильтруется, потому что пинг с DC до моей тачки не проходит
Подсеть DC и моя подсеть имеют маршруты, но не могу понять как инициировать входящий трафик от DC. Есть может идеи как это можно протестировать?

 

[Gerion]

Подключаюсь в отдельную подсеть через VPN, маршруты к DC вроде есть, но походу моя подсеть изолирована или фильтруется, потому что пинг с DC до моей тачки не проходит
Подсеть DC и моя подсеть имеют маршруты, но не могу понять как инициировать входящий трафик от DC. Есть может идеи как это можно протестировать?

Респондер в основном атакует широковещательные протоколы типа NetBIOS, которые используются для определения адресов хостов внутри одной сети. Если мне не изменяет память они не маршрутизируются, поэтому в своем сегменте ты их не видишь и не получаешь ответ. Именно поэтому если ломают ВПН, то обычно эксплойтом или брутом берут один из хостов сети и уже от него идут на атаку по дереву AD или на релей атаки по сети.

 

[learning_dzen]

Респондер в основном атакует широковещательные протоколы типа NetBIOS, которые используются для определения адресов хостов внутри одной сети. Если мне не изменяет память они не маршрутизируются, поэтому в своем сегменте ты их не видишь и не получаешь ответ. Именно поэтому если ломают ВПН, то обычно эксплойтом или брутом берут один из хостов сети и уже от него идут на атаку по дереву AD или на релей атаки по сети.

Блогадарю за ответ, в таком случае дальше пойду разбираться что да как можно уже поднять для доступа к какому нибудь хосту.