hunting-for-ntlm-relay-attacks
通过分析 Windows 事件 4624 中的 NTLMSSP 认证、IP 与主机名不匹配、Responder 流量签名、SMB 签名状态及跨域可疑认证模式，检测 NTLM 中继攻击。
Best use case
hunting-for-ntlm-relay-attacks is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
通过分析 Windows 事件 4624 中的 NTLMSSP 认证、IP 与主机名不匹配、Responder 流量签名、SMB 签名状态及跨域可疑认证模式，检测 NTLM 中继攻击。
Teams using hunting-for-ntlm-relay-attacks should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/hunting-for-ntlm-relay-attacks/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How hunting-for-ntlm-relay-attacks Compares
| Feature / Agent | hunting-for-ntlm-relay-attacks | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
通过分析 Windows 事件 4624 中的 NTLMSSP 认证、IP 与主机名不匹配、Responder 流量签名、SMB 签名状态及跨域可疑认证模式，检测 NTLM 中继攻击。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 在终端日志中狩猎 NTLM 中继攻击 ## 概述 NTLM 中继攻击通过拦截并转发 NTLM 认证消息，获取对网络资源的未授权访问。攻击者使用 Responder 进行 LLMNR/NBT-NS 投毒，使用 ntlmrelayx 进行凭据中继。本技能通过以下方式检测中继活动：查询 Windows 安全事件 4624（成功登录），筛选使用 NTLMSSP 认证的类型 3 网络登录；识别 WorkstationName 与来源 IpAddress 的不匹配；检测单一账户的快速多主机认证；审计域内主机的 SMB 签名配置。 ## 前置条件 - Python 3.9+，可访问 Windows 事件日志或导出的日志 - 启用 Windows 安全审计日志（事件 ID 4624、4625、5145） - 可进行 SMB 签名状态检查的网络访问权限 ## 关键检测点 1. **IP 与主机名不匹配** — 事件 4624 中的 WorkstationName 无法解析到来源 IpAddress 2. **NTLMSSP 认证** — 域内主机使用 NTLM 而非 Kerberos 进行登录 3. **机器账户中继** — 计算机账户（以 $ 结尾）从非预期 IP 发起认证 4. **快速认证** — 单一账户在数秒内向多台主机完成认证 5. **命名管道访问** — 事件 5145 中对 Spoolss、lsarpc、netlogon、samr 管道的访问 6. **SMB 签名未启用** — 主机未强制执行 SMB 签名，可被中继攻击利用 ## 输出 JSON 报告，包含疑似中继事件、IP 与主机名关联异常、SMB 签名审计结果，以及到 MITRE ATT&CK T1557.001 的映射。
Related Skills
performing-threat-hunting-with-yara-rules
使用 YARA 模式匹配规则在文件系统和内存转储中狩猎恶意软件、可疑文件和入侵指标。 涵盖规则编写、yara-python 扫描以及与威胁情报源的集成。
performing-threat-hunting-with-elastic-siem
使用 KQL/EQL 查询、检测规则和 Timeline 调查在 Elastic Security SIEM 中执行主动威胁狩猎， 识别绕过自动检测的威胁。适用于 SOC 团队针对特定 ATT&CK 技术进行狩猎、调查异常行为， 或使用 Elasticsearch 和 Kibana Security 验证检测覆盖缺口。
hunting-living-off-the-land-binaries
检测 Windows 事件日志和 Sysmon 遥测数据中对离地攻击（Living Off The Land Binaries，LOLBAS）的滥用， 包括 certutil、wmic、mshta、regsvr32 和 rundll32 等工具。 通过将进程创建事件与 LOLBAS 项目数据库交叉比对来构建检测规则。 适用于针对无文件攻击技术的威胁狩猎或构建 SIEM 检测规则的场景。
hunting-for-webshells-in-web-servers
通过扫描高熵值文件、可疑的 PHP/JSP/ASP 模式（eval、base64_decode、system、passthru）、 Web 根目录中近期修改的文件以及异常文件大小，检测植入 Web 服务器的 Webshell（网页后门）。 使用香农熵（Shannon entropy）计算标记混淆载荷，并通过正则表达式模式匹配已知 Webshell 特征。
hunting-for-webshell-activity
通过分析 Web 目录中的文件创建行为、Web 服务器异常进程派生以及异常 HTTP 模式，狩猎面向互联网服务器上的 Webshell 部署。
hunting-for-unusual-service-installations
通过解析系统事件日志中的事件 ID 7045、分析服务二进制路径并识别持久化机制指标，检测可疑 Windows 服务安装（MITRE ATT&CK T1543.003）。
hunting-for-unusual-network-connections
通过分析出站流量模式、稀有目标地址、非标准端口和终端异常连接频率，狩猎异常网络连接。
hunting-for-supply-chain-compromise
狩猎供应链入侵指标，包括木马化软件更新、受损依赖项、未授权代码修改和被篡改的构建产物。
hunting-for-startup-folder-persistence
通过监控 Windows 启动目录中的可疑文件创建、分析 autoruns 条目以及使用 Python watchdog 进行实时文件系统监控，检测 T1547.001 启动文件夹持久化。
hunting-for-spearphishing-indicators
跨电子邮件日志、终端遥测和网络数据狩猎鱼叉式网络钓鱼活动指标，检测定向邮件攻击。
hunting-for-shadow-copy-deletion
通过监控 vssadmin、wmic 和 PowerShell 卷影副本命令，狩猎表明勒索软件准备或反取证活动的卷影副本删除行为。
hunting-for-scheduled-task-persistence
通过分析任务创建事件、可疑任务操作和异常调度模式，狩猎攻击者通过 Windows 计划任务实现的持久化。