in

Catturare le credenziali di Windows con Responder

Uno dei metodi migliori per catturare le credenziali di windows e restare invisibili resta Responder. Questa fase, segue la fase di esplorazione, ovvero muoversi laterlamente nel network resta essenziale per un attaccante che vuole scoprire segmenti network diversi, host e server per scalare i privilegi dipendendo da quale scopo ha un attacco fino al domain controller.

Per prima cosa dobbiamo specificare da dove arriva questo attacco, e su quali protocolli si basa. Per spiegarlo semplicemente, quando DNS non riesce a fornire un indirizzo di rete, nessuno conosce, passa la richiesta Tramite LLMNR (introdotto in Windows Vista) e NBT-NS. Ora, supponendo che abbiamo Responder in esecuzione, DIREMO AD ALTA VOCE a tutte le richieste LLMNR e NBT-NS che vediamo net range network dove siamo “SONO IO”, e quindi il traffico verrà indirizzato a noi per le richieste DNS mancanti o fileshare interni non esistenti.

Possiamo anche usare Responder per un altro attacco che ci consente di avvelenare la richiesta WPAD. In una rete aziendale di solito viene utilizzato un proxy per raggiungere la rete Internet. Ma come può un computer sapere quale proxy viene utilizzato? Per risolvere questo problema, un computer cerca automaticamente il server WPAD (Web Proxy Auto Discovery).

Ciò che Responder fa con il comando python Responder.py -I eth0 -wFr è creare un server WPAD falso e quindi risponde al client con il suo IP. Quindi, quando il client tenta di ottenere wpad.dat, Responder crea una schermata di autenticazione che chiede al client di immettere nome utente e password utilizzati nel dominio. Le credenziali sono mostrate nel terminale in chiaro.

Per evitare questo tipo di attacchi, un buon metodo è abilitare la firma SMB, disabilitare la trasmissione NBNS e LLMNR e creare una voce WPAD che punti al proxy aziendale.

Possiamo identificare questo attacco con eventi viewer andando a verificare che nei logs esiste questo errore 5379 che viene utilizzato dal programma responder per leggere le credenziali.

What do you think?

Written by andreab

Comments

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Loading…

0

Commenti

0 commenti

Win password craccata con John the Ripper e PwDump7

Trucchi per analizzare logs