<summary><strong>Aprenda hacking na AWS do zero ao herói com</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* Se você deseja ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF**, verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
* **Compartilhe seus truques de hacking enviando PRs para os repositórios** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
Sistemas Microsoft usam Resolução de Nomes Multicast de Link Local (LLMNR) e o Serviço de Nomes NetBIOS (NBT-NS) para resolução de host local quando as consultas DNS falham. O Bonjour da Apple e as implementações de configuração zero do Linux usam o Multicast DNS (mDNS) para descobrir sistemas dentro de uma rede. Esses protocolos são não autenticados e enviam mensagens de difusão por UDP; assim, os atacantes podem explorá-los para direcionar usuários para serviços maliciosos.
Muitos navegadores usam a Descoberta Automática de Proxy da Web (WPAD) para carregar configurações de proxy da rede. Um servidor WPAD fornece configurações de proxy do cliente por meio de uma URL específica (por exemplo, _http://wpad.example.org/wpad.dat_) ao ser identificado por meio de qualquer um dos seguintes:
* DHCP, usando uma entrada de código 252[34](https://learning.oreilly.com/library/view/Network+Security+Assessment,+3rd+Edition/9781491911044/ch05.html#ch05fn41)
> Responder é um envenenador de LLMNR, NBT-NS e MDNS. Ele responderá a consultas específicas de NBT-NS (Serviço de Nomes NetBIOS) com base em seu sufixo de nome (consulte: [http://support.microsoft.com/kb/163409](http://support.microsoft.com/kb/163409)). Por padrão, a ferramenta responderá apenas a solicitações de Serviço de Servidor de Arquivos, que é para SMB.
> O conceito por trás disso é direcionar nossas respostas e ser mais furtivo na rede. Isso também ajuda a garantir que não quebremos o comportamento legítimo do NBT-NS.
* [**Responder**](https://github.com/lgandx/Responder) está instalado no kali por padrão e o arquivo de configuração está localizado em \*\*`/etc/responder/Responder.conf` \*\* (aqui você pode desativar servidores falsos)
* **Responder** irá **imprimir hashes na tela** e **gravá-los** em um arquivo de **log** por host localizado no diretório `/usr/share/responder/logs`. Os hashes são salvos no formato `(NOME_DO_MÓDULO)-(TIPO_DE_HASH)-(IP_DO_CLIENTE).txt`
* Opções como `-F` e `-P` podem ser usadas para forçar autenticação NTLM ou Básica e forçar autenticação de proxy, mas podem causar um prompt de login, então devem ser usadas com moderação.
* A flag `-w` utiliza o servidor proxy WPAD integrado. Isso pode ser altamente eficaz, especialmente em organizações grandes, porque capturará todas as solicitações HTTP de qualquer usuário que iniciar o Internet Explorer se o navegador tiver as [Configurações de detecção automática](https://docs.microsoft.com/en-us/internet-explorer/ie11-deploy-guide/auto-detect-settings-for-ie11) habilitadas.
Uma técnica interessante é usar o responder para rebaixar a autenticação NTLM sempre que possível. Isso permitirá **capturar desafios e respostas NTLMv1** em vez de NTLMv2 que podem ser **facilmente quebrados** [**seguindo este guia**](../../windows-hardening/ntlm/#ntlmv1-attack)**.**
Não será possível interceptar hashes NTLM (normalmente), mas você pode facilmente obter alguns **desafios e respostas NTLM** que você pode **quebrar** usando, por exemplo, a opção _**john**_`--format=netntlmv2`.
O Windows usa várias opções DHCP personalizadas, como NetBIOS, WINS, configurações de WPAD. Quando uma estação de trabalho envia uma solicitação DHCP para obter suas configurações de rede, essas configurações adicionais podem ser incluídas na resposta DHCP para facilitar a conectividade direta e a resolução de nomes.
Falsificar respostas DHCP sem interrupções pode ser desafiador, pois você está interferindo na configuração de rede de uma estação de trabalho. Geralmente, você precisa ter um bom conhecimento da sub-rede de destino, onde está o servidor DNS, onde está o switch, tabela de roteamento, domínio, máscara de rede, servidor DHCP, etc. **Qualquer erro nessas configurações resultará em interrupção na rede.**
No entanto, falsificar respostas DHCP tem benefícios únicos. **É definitivamente mais furtivo do que o envenenamento ARP**; Uma resposta unicast é suficiente para envenenar permanentemente as informações de roteamento de uma vítima, também é comum ver vários servidores DHCP operando em uma rede. As respostas DHCP unicast são mais complexas de detectar, alguns switches fornecem configurações de segurança para evitar a espionagem DHCP, no entanto, essas configurações não são diretas e muitas vezes são mal configuradas quando habilitadas.
O Responder vai **fingir ser todos os serviços usando os protocolos mencionados**. Quando algum usuário tentar acessar um serviço resolvido usando esses protocolos, **ele tentará autenticar-se contra o Responder** e o Responder será capaz de **capturar** as "credenciais" (provavelmente um **Desafio/Resposta NTLMv2**):
> Inveigh é um falsificador de ADIDNS/LLMNR/NBNS/mDNS/DNS em PowerShell e ferramenta de interceptação de man-in-the-middle projetada para ajudar testadores de penetração/red teamers que se veem limitados a um sistema Windows.
[**Inveigh** ](https://github.com/Kevin-Robertson/Inveigh)era um script PowerShell, agora é um binário C# que possui as mesmas principais características do Responder. Existe uma [**wiki**](https://github.com/Kevin-Robertson/Inveigh/wiki/Parameters) que lista todos os parâmetros e instruções de uso.\
Este ataque encaminha **sessões de autenticação SMB** em uma rede interna para uma **máquina alvo**. Se a **sessão de autenticação for bem-sucedida**, você será automaticamente direcionado para um **shell do sistema**. Por favor, note que a autenticação encaminhada deve ser de um **usuário que tenha acesso de Administrador Local ao host encaminhado** e **a assinatura SMB deve estar desativada**.
Se você puder **introduzir uma máquina dentro da rede**, você pode usar qualquer uma das **ferramentas** da seção seguinte para realizar um ataque de relevo e não precisará se preocupar com isso.
No entanto, em equipes vermelhas isso não é o caso, em equipes vermelhas geralmente será necessário **encaminhar o tráfego da porta 445 de uma máquina Windows para sua máquina** executando qualquer uma das seguintes ferramentas e então **rotear de volta o tráfego dessa ferramenta por meio de um proxy** para alcançar a máquina a ser atacada internamente.
A ferramenta [**PortBender**](https://github.com/praetorian-inc/PortBender) é um driver para **redirecionar** o tráfego destinado à porta **445 para outra porta** (por exemplo, 8445) que **podemos vincular**. **Requer acesso de administrador local** para que o driver seja carregado. Faz sentido usar `cd C:\Windows\System32\drivers` pois é onde a maioria dos drivers do Windows são colocados.
No Windows, **você pode ser capaz de forçar algumas contas privilegiadas a se autenticarem em máquinas arbitrárias**. Leia a página a seguir para aprender como:
Se estiver usando o servidor DHCP da Microsoft, selecione o escopo para o qual deseja desativar o NBT-NS. Clique com o botão direito em "Opções de Escopo" e clique em "Configurar Opções". No exemplo abaixo, o escopo DHCP no qual desejo desativar o NBT-NS é 192.168.1.100.
Para mitigar o ataque WPAD, você pode adicionar uma entrada para "wpad" em sua zona DNS. Observe que a entrada DNS não precisa apontar para um servidor WPAD válido. Desde que as consultas sejam resolvidas, o ataque será impedido.
1\. **Forçar a assinatura SMB em todas as máquinas locais com Windows**. Essa configuração irá assinar digitalmente cada sessão SMB, forçando tanto o cliente quanto o servidor a verificar a origem dos pacotes antes de continuar. Essa configuração é ativada por padrão apenas em Controladores de Domínio. Os seguintes artigos da Microsoft detalham essas configurações (que podem ser habilitadas por meio de política de grupo) e como implementá-las.
2\. **Revisar e garantir que os usuários na rede local só possam fazer login remotamente em máquinas em que é necessário**. Por exemplo: Sally só pode fazer login na estação de trabalho de Sally. Se um atacante interceptar a sessão de autenticação SMB de Sally, eles não poderão transmitir a sessão para nenhuma estação de trabalho, tornando esse método inútil.
3\. **Restringir a Autenticação NTLM na rede local o máximo possível**. Este ataque não pode se aproveitar da autenticação Kerberos, então limitando a quantidade de NTLM que está ocorrendo, esse ataque pode ser grandemente prejudicado. Há informações da Microsoft sobre como fazer isso acontecer, mas cuidado... Se a autenticação Kerberos falhar por qualquer motivo, geralmente volta para o NTLM. Se você desativá-lo completamente, sua rede pode travar.
4\. **Impedir usuários não autorizados em sua rede**. Uma ameaça interna provavelmente não estará utilizando um ataque de Relevo SMB, pois eles já têm credenciais de rede. Reforçando suas políticas de segurança física, impedindo dispositivos não autorizados na rede com ACLs e Filtragem MAC, e garantindo uma segmentação de rede adequada, você pode limitar significativamente a ameaça deste ataque ser executado.
<summary><strong>Aprenda hacking AWS do zero ao herói com</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* Se você quiser ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF** Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
* Descubra [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
* **Compartilhe seus truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
