NTLM: Protocollo, Hash Capture, Pass-the-Hash e Relay su Active Directory

Wed, 17 Jun 2026 00:00:00 +0000

NTLM: Protocollo, Attacchi e Sfruttamento in Ambienti Active Directory #

NTLM è uno dei protocolli di autenticazione più sfruttati nei penetration test su ambienti Windows. Microsoft lo sta deprecando ufficialmente — eppure nel 2025 CVE-2025-24054 è stata attivamente sfruttata in campagne reali giorni dopo il patch. In ambienti enterprise ibridi NTLM è ancora ovunque: SMB, HTTP, LDAP, RPC, WinRM.

Capire NTLM a fondo non è un esercizio accademico — è prerequisito per sfruttare NTLM Relay, Pass-the-Hash, coercizione AD, e la chain relay→ADCS→Domain Admin che funziona nella maggior parte degli ambienti enterprise non patchati.

Porta 137 NetBIOS: Responder, NTLM Relay e Credential Theft su AD

Sun, 26 Apr 2026 00:00:00 +0000

La porta 137 espone NetBIOS Name Service (NBT-NS) — il protocollo legacy Microsoft per risoluzione nomi NetBIOS su reti Windows pre-DNS, operante come broadcast name resolution che permette ai client di trovare host tramite nomi NetBIOS flat (WORKSTATION01, FILE-SERVER) invece di FQDN. NetBIOS-NS usa UDP porta 137 per query/response broadcast sulla LAN, consentendo a ogni host di rispondere “io sono FILE-SERVER, il mio IP è 10.10.10.50”. In penetration testing Active Directory, la porta 137 è vettore primario per MITM attacks: NBT-NS poisoning tramite Responder, credential relay attacks, name resolution hijacking per SMB authentication capture, e network reconnaissance passivo via broadcast monitoring. Ogni rete Windows legacy con NetBIOS abilitato (default Windows 7/8/Server 2008-2012) è vulnerable a Responder credential theft — da NBT-NS response spoofing a NTLM hash capture in secondi.

Ntlm-Relay on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

NTLM: Protocollo, Hash Capture, Pass-the-Hash e Relay su Active Directory

NTLM: Protocollo, Attacchi e Sfruttamento in Ambienti Active Directory #

Porta 137 NetBIOS: Responder, NTLM Relay e Credential Theft su AD