官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
- 关注
基础知识
LLMNR是什么？
链路本地多播名称解析（LLMNR）是一个基于协议的域名系统（DNS）数据包的格式，使得双方的IPv4和IPv6的主机来执行名称解析为同一本地链路上的主机。当局域网中的DNS服务器不可用时，DNS客户端会使用LLMNR本地链路多播名称解析来解析本地网段上的主机的名称，直到网络连接恢复正常为止。
LLMNR 的工作过程
NetBIOS是什么？
Windows系统名称解析顺序
1. 本地hosts文件（%windir%\System32\drivers\etc\hosts）
2. DNS缓存/DNS服务器
3. 链路本地多播名称解析（LLMNR）和NetBIOS名称服务（NBT-NS）
LLMNR和NetBIOS欺骗攻击
攻击原理
我们利用SMB协议获取目标网络中计算机的Net-NTML Hash。
当用户输入 不存在、包含错误 或者 DNS中没有的主机名 时，主机先在自己的内部名称缓存中查询名称，如果没找到，主机就会向DNS服务器查询，而DNS解析会失败，此时就会退回LLMNR和NetBIOS进行计算机名称解析。那么攻击者就能够代替网络上任何不存在的主机回答请求，并诱导搜索内容的主机连接到我们。如果攻击者使用 Metasploit 和 Responder 等工具，就可以要求验证受害者主机的身份，而如果攻击者被认为是这些主机所在的本地网络中的一部分时，他们就会把自己进行哈希后的Windows凭据发给攻击者。核心过程与arp欺骗类似。
在渗透测试中，如果进入目标系统后没有获取到任何凭证，可以使用LLMNR和NetBIOS欺骗攻击对目标网络进行渗透。
Responder工具利用过程
下载地址：https://github.com/sdfzy/Responder
Responder是监听LLMNR和NetBIOS协议的工具之一，能够抓取网络中所有的LLMNR和NetBIOS请求并进行响应，获取最初的账户凭证。
responder -I eth0 -f
- -I：指定使用的网卡
- -f：允许攻击者查看受害者的主机指纹
net use \\whoami
dir \\whoami\c$
Net-NTML Hash是指在网络环境中经过NTML认证的散列值。挑战/响应验证中的响应就包含Net-NTML Hash。使用responder抓取的通常就是Net-NTML Hash。攻击者无法使用Net-NTML Hash进行哈希传递攻击，只能使用hashcat等工具爆破或进行NTLM-Relay攻击。Net-NTML Hash详情请见：https://blog.csdn.net/qq_36119192/article/details/85941222
攻击端收到了受害机的 Net-NTLMHash 的值后，可以对其进行爆破，也可以利用该 Net-NTLMHash 进行NTLM-Relay攻击（日后讲解）。
hashcat.exe -m 5600 hash.txt rockyou.txt // rockyou.txt为字典
得到明文密码。也可以使用kali自带的john工具进行破解，如下：
成功了得到明文密码。针对LLMNR和NetBIOS欺骗攻击的防御
在写这篇文章时，我只是一名大一的学生，抱着对网络安全的热爱，从零基础走上了安全这条道路，想为国家的网络安全事业做贡献。文章大多是我学习的总结，因初来乍到，必有很多不足之处，还请各位前辈多多指教，小生还需多多向各位前辈学习。- 0 文章数
- 0 关注者