LLMNR/NBT-NS poisoning con Responder

7 luglio 2025 · 1 min di lettura · #network #windows #responder

Se la risoluzione DNS fallisce, Windows ricade su LLMNR e NBT-NS: chiede in broadcast "chi ha questo hostname?". Chiunque può rispondere "io".

L'attacco

Un typo in un percorso di rete (\\fileserver1 invece di fileserver01) scatena la query. Responder risponde, il client tenta l'autenticazione NTLM e invia l'hash NTLMv2 challenge-response, che si cracka offline o si relaya.

responder -I eth0 -wF
hashcat -m 5600 ntlmv2.txt wordlist.txt

Difesa

Disabilita LLMNR e NBT-NS via GPO (la difesa singola più efficace in molte reti Windows). SMB signing per bloccare il relay. Password lunghe contro il crack offline. Monitorare risposte LLMNR anomale.

« torna alla home