С сегодняшнего дня мы решили запустить цикл постов и статей, посвященных пентесту внутрянки🕺
Темой первого поста будет атака, связанная с отравлением NBT-NS/LLMNR (или poisoning на родном английском). Расскажем как выполнять данную атаку и как от него защититься.🛡
Всем удачного чтения 📚
🔽 NBT-NS/LLMNR poisoning.
Немного пояснения, что это такое:
🔹 LLMNR — это протокол, позволяющий разрешать имена без использования DNS-сервера, предоставляя имя хоста для IP на основе многоадресного пакета.
🔹 NBT-NS — это достаточно старый протокол Windows, который используется для преобразования имен NetBIOS в IP-адреса в локальной сети.
🪄 И вот тут наступает магия: когда устройство в сети не может достучаться до нужного ресурса по DNS, он использует протоколы LLMNR/NBT-NS, отправляя многоадресный запрос.
Суть атаки заключается в подмене источника для разрешения имени, когда злоумышленник отвечает на многоадресный запрос от жертвы. К примеру, пользователь хочет получить доступ до сетевого ресурса \\bobr, которого не существует. И вот тут, DNS, не поняв, что от него хотят, передает свои полномочия LLMNR/NBT-NS. Злоумышленник в свою очередь только, этого и ждет, и на своей тачке запускает всеми любимый responder для отравления (если вы любитель потрошить с винды, то подойдет инструмент Inveigh).
Запускается простой командой с указанием интерфейса и включив необходимые настройки в Responder.conf.
responder -I eth1
Для запуска Inveigh можно воспользоваться следующей командой:
PS C:\Users\Administrator> Import-Module .\Inveigh.ps1
PS C:\Users\Administrator> Invoke-Inveigh Y -NBNS Y -ConsoleOutput Y -FileOutput Y
Далее остается только подождать, когда пользователь введет свои данные и наш инструмент перехватит их (что с ними делать расскажем в следующий раз).
🔼А теперь как же защититься от подобной наглости.
😉 Самое простое что можно сделать, это отключить протоколы LLMNR и NBT-NS. Для отключения LLMNR можно воспользоваться групповой политикой. Для этого необходимо перейти в следующий раздел : Local Computer Policy > Computer Configuration > Administrative Templates > Network > DNS Client, и далее включить политику Turn off smart multi-homed name resolution.
😝 Отключить NBT-NS можно с помощью настроек сетевого адаптера: необходимо в свойствах сетевого подключения выбрать протокол TCP/IPv4, далее нажать кнопку Advanсed и на вкладке WINS выбрать опцию Disable NetBIOS over TCP.
Подписывайтесь на канал, чтобы быть в курсе интересных тем из мира ИБ! 😳
#redteam