lsarelayx 是系統(tǒng)范圍的 NTLM 中繼工具，旨在將傳入的基于 NTLM 的身份驗證中繼到運行它的主機。lsarelayx 將中繼任何傳入的身份驗證請求，其中包括 SMB。由于 lsarelayx hook?到現(xiàn)有的應用程序身份驗證流，該工具還將在中繼完成后嘗試為原始身份驗證請求提供服務。這將防止目標應用程序/協(xié)議顯示錯誤，并為最終用戶針對 lsarelayx 主機進行身份驗證正常工作。

特性：

• 在系統(tǒng)范圍內(nèi)中繼 NTLM 連接，包括 SMB、HTTP/HTTPS、LDAP/LDAPS 或任何其他實現(xiàn) Windows 身份驗證 API 的第三方應用程序。
• 在可能的情況下，將傳入的 Kerberos 身份驗證請求降級為 NTLM。這將導致傳統(tǒng)上嘗試 Kerberos 身份驗證的客戶端回退到 NTLM。
• 為中繼用戶執(zhí)行 LDAP 查詢以獲取組成員資格信息并為原始請求創(chuàng)建正確的身份驗證令牌。
• 轉儲 NetNTLM 消息以進行離線破解。
• 支持不中繼且僅轉儲捕獲的 NetNTLM 哈希的被動模式（在此模式下沒有 Kerberos 降級）。

lsarelayx 分為三個部分。在 liblsarelay.dll 中實現(xiàn)的虛假 LSA 身份驗證提供程序、作為控制接口的用戶模式控制臺應用程序和名為 RAW 的新 ntlmrelayx 服務器模塊。

值得注意的是：liblsarelayx.dll 將在關鍵的 lsass.exe 進程中加載。如果 liblsarelayx.dll 有任何錯誤，導致 lsass.exe 崩潰，主機將在 60s 后重新啟動。