Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay Attacks
Last updated
Last updated
LLMNR, NBT-NS, and mDNS:
Microsoft và các hệ điều hành khác sử dụng LLMNR và NBT-NS để phân giải tên cục bộ khi DNS lỗi. Tương tự, hệ thống Apple và Linux sử dụng mDNS.
Các giao thức này dễ bị chặn và giả mạo do bản chất phát sóng không xác thực qua UDP.
có thể sử dụng để mạo danh các dịch vụ bằng cách gửi phản hồi giả mạo tới các máy chủ đang truy vấn các giao thức này.
WPAD cho phép trình duyệt tự động phát hiện cài đặt proxy.
Việc khám phá được thực hiện thông qua DHCP, DNS, hoặc chuyển sang LLMNR và NBT-NS nếu DNS bị lỗi.
Responder có thể tự động lhoas các cuộc tấn công WPAD, chuyển hướng khách hàng đến các máy chủ WPAD độc hại.
Responder là một công cụ được sử dụng để đầu độc các truy vấn LLMNR, NBT-NS, và mDNS, phản hồi có chọn lọc các loại truy vấn, chủ yếu nhằm vào các dịch vụ SMB
Có sẵn trên Kali Linux, cấu hình tại /etc/responder/Responder.conf.
Responder hiển thị các mã băm đã chụp trên màn hình và lưu chúng vào thư mục /usr/share/responder/logs.
Nó hỗ trợ cả IPv4 và IPv6.
Windows version of Responder is available.
Chạy Responder với default settings: responder -I <Interface>
For more aggressive probing (with potential side effects): responder -I <Interface> -P -r -v
Techniques to capture NTLMv1 challenges/responses for easier cracking: responder -I <Interface> --lm --disable-ess
Mạo danh WPAD: responder -I <Interface> --wpad
NetBIOS requests can be resolved to the attacker's IP, and an authentication proxy can be set up: responder.py -I <interface> -Pv
Spoofing DHCP có thể làm hỏng vĩnh viễn thông tin định tuyến của nạn nhân,cung cấp một giải pháp thay thế bí mật hơn cho ARP poisoning.
Cần phải có kiến thức chính xác về cấu hình mạng mục tiêu.
Running the attack: ./Responder.py -I eth0 -Pdv
Phương pháp này có thể capture hiệu quả NTLMv1/2 hashes, nhưng cần xử lý cẩn thận để tránh gián đoạn mạng,
Responder sẽ giả mạo các dịch vụ bằng các giao thức được đề cập ở trên, capturing credentials (thường là NTLMv2 Challenge/Response) khi user cố gắng xác thực với các dịch vụ giả mạo.
Có thể thử hạ cấp xuống NetNTLMv1 hoặc disable ESS để crack thông tin xác thực dễ dàng hơn.
Inveigh can be operated through PowerShell:
Invoke-Inveigh -NBNS Y -ConsoleOutput Y -FileOutput Y
Or executed as a C# binary:
Inveigh.exe
Cuộc tấn công này tận dụng các phiên xác thực SMB để truy cập vào máy mục tiêu, cấp system shell nếu thành công. Các điều kiện tiên quyết chính bao gồm:
- Người dùng xác thực phải có quyền Local Admin trên máy chủ được chuyển tiếp.
- SMB signing should be disabled.
Metasploit: Set up with proxies, local and remote host details.
smbrelayx: A Python script for relaying SMB sessions and executing commands or deploying backdoors.
MultiRelay: A tool from the Responder suite to relay specific users or all users, execute commands, or dump hashes.
Each tool can be configured to operate through a SOCKS proxy if necessary, enabling attacks even with indirect network access.
MultiRelay được thực thi từ thư mục /usr/share/responder/tools, nhắm mục tiêu vào các IP hoặc người dùng cụ thể
Các công cụ và kỹ thuật này tạo thành một bộ toàn diện để thực hiện NTLM Replay Attack trong nhiều môi trường khác nhau.
Trong Windows, bạn có thể buộc một số tài khoản đặc quyền xác thực với các máy tùy ý
Inveigh is a tool for penetration testers and red teamers, designed for Windows systems. It offers functionalities similar to Responder, performing spoofing and man-in-the-middle attacks. The tool has evolved from a PowerShell script to a C# binary, with and as the main versions. Detailed parameters and instructions can be found in the.
Trong trường hợp không thể trực tiếp, lưu lượng trên cổng 445 cần được chuyển tiếp và tạo đường hầm. Tools như giúp chuyển hướng lưu lượng cổng 45 sang cổng khác, điều này rất cần thiết khi có quyền truy cập quản trị cục bộ để driver loading.
