Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay Attacks
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
LLMNR, NBT-NS, and mDNS:
Microsoft na mifumo mingine ya uendeshaji hutumia LLMNR na NBT-NS kwa ajili ya kutatua majina ya ndani wakati DNS inashindwa. Vivyo hivyo, mifumo ya Apple na Linux hutumia mDNS.
Protokali hizi zinaweza kukabiliwa na udukuzi na spoofing kutokana na asili yao isiyo na uthibitisho, ya matangazo kupitia UDP.
Responder inaweza kutumika kuiga huduma kwa kutuma majibu yaliyotengenezwa kwa mwenyeji wanaouliza protokali hizi.
Taarifa zaidi juu ya kuiga huduma kwa kutumia Responder inaweza kupatikana hapa.
WPAD inaruhusu vivinjari kugundua mipangilio ya proxy kiotomatiki.
Ugunduzi unarahisishwa kupitia DHCP, DNS, au kurudi kwa LLMNR na NBT-NS ikiwa DNS inashindwa.
Responder inaweza kuendesha mashambulizi ya WPAD, ikielekeza wateja kwa seva za WPAD zenye uharibifu.
Responder ni chombo kinachotumika kwa ajili ya kuharibu LLMNR, NBT-NS, na mDNS maswali, ikijibu kwa kuchagua kulingana na aina za maswali, hasa ikilenga huduma za SMB.
Inakuja ikiwa imewekwa awali katika Kali Linux, inayoweza kubadilishwa katika /etc/responder/Responder.conf.
Responder inaonyesha hash zilizokamatwa kwenye skrini na kuzihifadhi katika saraka ya /usr/share/responder/logs.
Inasaidia IPv4 na IPv6.
Toleo la Windows la Responder linapatikana hapa.
Kuendesha Responder kwa mipangilio ya default: responder -I <Interface>
Kwa uchunguzi mkali zaidi (ikiwa na athari zinazoweza kutokea): responder -I <Interface> -P -r -v
Mbinu za kukamata changamoto/jibu za NTLMv1 kwa urahisi wa kuvunja: responder -I <Interface> --lm --disable-ess
Kuiga WPAD kunaweza kuanzishwa kwa: responder -I <Interface> --wpad
Maombi ya NetBIOS yanaweza kutatuliwa kwa IP ya mshambuliaji, na proxy ya uthibitishaji inaweza kuanzishwa: responder.py -I <interface> -Pv
Spoofing majibu ya DHCP yanaweza kuharibu kwa kudumu taarifa za routing za mwathirika, ikitoa njia ya siri zaidi kuliko ARP poisoning.
Inahitaji maarifa sahihi ya usanidi wa mtandao wa lengo.
Kuendesha shambulizi: ./Responder.py -I eth0 -Pdv
Njia hii inaweza kukamata hash za NTLMv1/2 kwa ufanisi, lakini inahitaji kushughulikia kwa makini ili kuepuka kuvuruga mtandao.
Responder itaimarisha huduma kwa kutumia protokali zilizotajwa hapo juu, ikikamata akidi (kawaida NTLMv2 Changamoto/Jibu) wakati mtumiaji anajaribu kuthibitisha dhidi ya huduma zilizoghushiwa.
Jaribio linaweza kufanywa kushuka hadi NetNTLMv1 au kuzima ESS kwa urahisi wa kuvunja akidi.
Ni muhimu kutambua kwamba kutumia mbinu hizi inapaswa kufanywa kisheria na kwa maadili, kuhakikisha idhini sahihi na kuepuka kuvuruga au ufikiaji usioidhinishwa.
Inveigh ni chombo kwa ajili ya wapimaji wa penetral na timu nyekundu, kilichoundwa kwa mifumo ya Windows. Kinatoa kazi zinazofanana na Responder, kikifanya spoofing na mashambulizi ya mtu katikati. Chombo hiki kimebadilika kutoka kwa skripti ya PowerShell hadi binary ya C#, na Inveigh na InveighZero kama toleo kuu. Vigezo na maelekezo ya kina yanaweza kupatikana katika wiki.
Inveigh inaweza kuendeshwa kupitia PowerShell:
Au kutekelezwa kama binary ya C#:
Shambulio hili linatumia vikao vya uthibitishaji vya SMB kupata mashine lengwa, likitoa shell ya mfumo ikiwa limefanikiwa. Masharti muhimu ni:
Mtumiaji anayethibitisha lazima awe na ufikiaji wa Local Admin kwenye mwenyeji aliyehamasishwa.
Uthibitishaji wa SMB unapaswa kuzuiliwa.
Katika hali ambapo utangulizi wa moja kwa moja wa mtandao hauwezekani, trafiki kwenye bandari 445 inahitaji kuelekezwa na kupitishwa. Zana kama PortBender husaidia katika kuelekeza trafiki ya bandari 445 kwenda kwenye bandari nyingine, ambayo ni muhimu wakati ufikiaji wa admin wa ndani unapatikana kwa ajili ya kupakia madereva.
PortBender setup and operation in Cobalt Strike:
Metasploit: Sanidiwa na proxies, maelezo ya mwenyeji wa ndani na wa mbali.
smbrelayx: Skripti ya Python kwa ajili ya kuhamasisha vikao vya SMB na kutekeleza amri au kuweka backdoors.
MultiRelay: Chombo kutoka kwenye suite ya Responder kuhamasisha watumiaji maalum au watumiaji wote, kutekeleza amri, au kutupa hashes.
Kila chombo kinaweza kuundwa kufanya kazi kupitia SOCKS proxy ikiwa ni lazima, ikiruhusu mashambulizi hata na ufikiaji wa mtandao wa moja kwa moja.
MultiRelay inatekelezwa kutoka kwenye /usr/share/responder/tools directory, ikilenga IP au watumiaji maalum.
These tools and techniques form a comprehensive set for conducting NTLM Relay attacks in various network environments.
Katika Windows unaweza kushinikiza akaunti fulani zenye mamlaka kuthibitisha kwenye mashine zisizo za kawaida. Soma ukurasa ufuatao kujifunza jinsi:
Force NTLM Privileged AuthenticationLearn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
