32 lines
1.8 KiB
Markdown
32 lines
1.8 KiB
Markdown
### 继上题，Responder 应该开在哪台机器上，为什么
|
||
|
||
**为什么必须开在攻击者的机器上？**
|
||
|
||
要理解 Responder 的工作原理，你需要知道它在整个攻击链中扮演的角色：
|
||
|
||
**1. 监听和嗅探**
|
||
|
||
Responder 的第一步是监听本地网络接口上的流量。它会嗅探那些没有找到对应服务器的协议请求，例如：
|
||
|
||
- **LLMNR**：Windows 机器默认的域名解析协议，用于在局域网内解析主机名。当 DNS 解析失败时，它会向所有机器广播查询
|
||
- **NBT-NS：另一个 Windows 机器常用的广播协议
|
||
- **MDNS**：多播 DNS
|
||
|
||
**2. 欺骗和响应**
|
||
|
||
当 Responder 嗅探到这些广播查询时，它会立即**伪造一个响应**，声称自己就是客户端正在寻找的目标服务器。例如，如果客户端正在寻找 `FILESERVER`，Responder 会立即响应：“我就是 `FILESERVER`，请连接我。”
|
||
|
||
**3. 拦截和重放**
|
||
|
||
一旦客户端被欺骗，它会尝试向 Responder 伪造的“服务器”发起连接，并发送自己的 **NTLMv2 哈希**进行身份验证
|
||
|
||
Responder 会拦截这个哈希，并将其保存下来。攻击者可以稍后对这个哈希进行离线破解，获取明文密码，或者直接进行 **NTLM Relay** 攻击
|
||
|
||
**4. 攻击链中的位置**
|
||
|
||
想象一下，你在一场对话中扮演一个**冒名顶替者**
|
||
|
||
- **你的机器**：Responder 就是你的冒名顶替者。它坐在你的电脑上，等待有人大声询问“`FILESERVER` 在哪儿？”
|
||
- **受害者机器**：受害者就是那个大声询问的人。它没有找到 `FILESERVER`，所以向整个网络广播求助
|
||
- **真正的服务器**：`FILESERVER` 可能根本就不在线，或者 DNS 配置有问题
|
||
- **攻击过程**：你的 Responder 迅速回应，将受害者引向你，而不是它想找的真正服务器 |