Пентестинг & Security QA & SDET: “🟦 Что такое LLMNR и почему он опасен? Когда мы открываем ресурс в Win…”

🟦 Что такое LLMNR и почему он опасен?

Когда мы открываем ресурс в Windows, например:

\\fileserver\documents

компьютеру нужно понять:

"Какой IP-адрес у этого имени?"

Обычно этим занимается DNS.

Но что происходит, если DNS не знает ответ?

Windows может использовать дополнительные механизмы поиска:
— LLMNR
— NBNS
— mDNS

И именно здесь появляется интерес для пентестера.

🧠 Что такое LLMNR?

LLMNR (Link-Local Multicast Name Resolution) — это протокол разрешения имён внутри локальной сети.

Его задача:

помочь компьютерам найти друг друга без участия DNS-сервера.

Например:
Пользователь вводит:

\\fileserwer\share

Но такого имени нет в DNS.
Тогда Windows отправляет запрос:

Кто такой fileserwer?

Этот запрос получает вся локальная сеть.

💀 Где проблема?

Windows доверяет ответу внутри сети.

Например:
Настоящего сервера нет.

Атакующий отвечает:

Я fileserwer.

Windows думает:

Отлично, подключаюсь.

И может попытаться выполнить NTLM-аутентификацию.

Схема:

Пользователь
      |
      | "Где fileserwer?"
      |
      ↓
    LLMNR
      |
      ↓
Атакующий отвечает:
"Это я"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно пентестеру?

Потому что позволяет проверить:
— используется ли LLMNR;
— можно ли получить NTLM-аутентификацию;
— есть ли условия для NTLM Relay;
— насколько правильно настроена внутренняя сеть.

#llmnr #ntlm #responder #windows #ad #pentest #infra