* Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Compartilhe suas técnicas de hacking enviando PRs para o** [**repositório hacktricks**](https://github.com/carlospolop/hacktricks) **e** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud).
Os sistemas Microsoft usam o Link-Local Multicast Name Resolution (LLMNR) e o NetBIOS Name Service (NBT-NS) para resolução de host local quando as pesquisas DNS falham. As implementações de zero configuração da Apple Bonjour e do Linux usam o Multicast DNS (mDNS) para descobrir sistemas dentro de uma rede. Esses protocolos são não autenticados e transmitem mensagens por UDP; portanto, os atacantes podem explorá-los para direcionar os usuários para serviços maliciosos.
Muitos navegadores usam o Web Proxy Auto-Discovery (WPAD) para carregar as configurações de proxy da rede. Um servidor WPAD fornece as configurações de proxy do cliente por meio de uma URL específica (por exemplo, _http://wpad.example.org/wpad.dat_) ao ser identificado por meio de qualquer um dos seguintes:
* DHCP, usando uma entrada de código 252[34](https://learning.oreilly.com/library/view/Network+Security+Assessment,+3rd+Edition/9781491911044/ch05.html#ch05fn41)
* DNS, procurando o nome do host _wpad_ no domínio local
* Microsoft LLMNR e NBT-NS (no caso de falha na pesquisa DNS)
> Responder é um envenenador de LLMNR, NBT-NS e MDNS. Ele responderá a consultas específicas do NBT-NS (NetBIOS Name Service) com base no sufixo do nome (consulte: [http://support.microsoft.com/kb/163409](http://support.microsoft.com/kb/163409)). Por padrão, a ferramenta só responderá à solicitação do serviço de servidor de arquivos, que é para SMB.
> O conceito por trás disso é direcionar nossas respostas e ser mais furtivo na rede. Isso também ajuda a garantir que não quebremos o comportamento legítimo do NBT-NS.
* [**Responder**](https://github.com/lgandx/Responder) está instalado no kali por padrão e o arquivo de configuração está localizado em \*\*`/etc/responder/Responder.conf` \*\* (aqui você pode desativar servidores falsos)
* **Responder** irá **imprimir hashes na tela** e **gravá-los** em um arquivo de **log** por host localizado no diretório `/usr/share/responder/logs`. Os hashes são salvos no formato `(MODULE_NAME)-(HASH_TYPE)-(CLIENT_IP).txt`
* Você pode encontrar o Responder para **Windows** [aqui](https://github.com/lgandx/Responder-Windows)
* A flag `-A` nos coloca no **modo de análise**, permitindo-nos ver solicitações NBT-NS, BROWSER e LLMNR no ambiente sem envenenar nenhuma resposta.
* Sempre devemos fornecer uma interface ou um IP.
*`-wf` iniciará o servidor proxy WPAD rogue.
*`-f` tentará identificar o sistema operacional e a versão do host remoto.
* Use a flag `-v` para aumentar a verbosidade (muitos dados adicionais impressos no console).
* Opções como `-F` e `-P` podem ser usadas para forçar a autenticação NTLM ou Basic e forçar a autenticação do proxy, mas podem causar uma solicitação de login, portanto, devem ser usadas com moderação.
* A flag `-w` utiliza o servidor proxy WPAD integrado. Isso pode ser altamente eficaz, especialmente em grandes organizações, porque capturará todas as solicitações HTTP de qualquer usuário que iniciar o Internet Explorer se o navegador tiver a opção [Detectar configurações automaticamente](https://docs.microsoft.com/pt-br/internet-explorer/ie11-deploy-guide/auto-detect-settings-for-ie11) habilitada.
Uma técnica interessante é usar o responder para rebaixar a autenticação NTLM quando possível. Isso permitirá **capturar desafios e respostas NTLMv1** em vez de NTLMv2 que podem ser **facilmente quebrados** [**seguindo este guia**](../../windows-hardening/ntlm/#ntlmv1-attack)**.**
Você não será capaz de interceptar hashes NTLM (normalmente), mas pode facilmente pegar alguns **desafios e respostas NTLM** que você pode **quebrar** usando, por exemplo, a opção `--format=netntlmv2` do _**john**_.
O Windows usa várias opções DHCP personalizadas, como NetBIOS, WINS, configurações WPAD. Quando uma estação de trabalho envia uma solicitação DHCP para obter suas configurações de rede, essas configurações adicionais podem ser incluídas na resposta DHCP para facilitar a conectividade e a resolução de nomes.
Falsificar respostas DHCP sem interrupção pode ser desafiador, pois você está interferindo na configuração de rede de uma estação de trabalho. Geralmente, você precisa ter um conhecimento muito bom da sub-rede de destino, onde está o servidor DNS, onde está o switch, tabela de roteamento, domínio, máscara de rede, servidor DHCP, etc. **Qualquer erro com essas configurações resultará em interrupção na rede.**
No entanto, falsificar respostas DHCP tem benefícios únicos. **É definitivamente mais furtivo do que o envenenamento ARP**; uma resposta unicast é suficiente para envenenar permanentemente as informações de roteamento da vítima, também é comum ver vários servidores DHCP operando em uma rede. As respostas unicast do DHCP são mais complexas de detectar, alguns switches fornecem configurações de segurança para evitar a espionagem do DHCP, no entanto, essas configurações não são diretas e muitas vezes são mal configuradas quando habilitadas.
O Responder vai **se passar por todos os serviços usando os protocolos mencionados**. Quando algum usuário tentar acessar um serviço que está sendo resolvido usando esses protocolos, **ele tentará se autenticar contra o Responder** e o Responder será capaz de **capturar** as "credenciais" (provavelmente um **Desafio/Resposta NTLMv2**):
> Inveigh é um spoofing de ADIDNS/LLMNR/NBNS/mDNS/DNS em PowerShell e ferramenta de man-in-the-middle projetada para ajudar testadores de penetração/red teamers que se encontram limitados a um sistema Windows.
[**Inveigh**](https://github.com/Kevin-Robertson/Inveigh) era um script PowerShell, agora é um binário C# que tem as mesmas principais características do Responder. Há uma [**wiki**](https://github.com/Kevin-Robertson/Inveigh/wiki/Parameters) que lista todos os parâmetros e instruções de uso.\
Outra versão pode ser encontrada em [**InveighZero**](https://github.com/Kevin-Robertson/InveighZero).
Este ataque reléia sessões de autenticação SMB em uma rede interna para uma máquina alvo. Se a sessão de autenticação for bem-sucedida, você será automaticamente direcionado para um shell do sistema. Observe que a autenticação retransmitida deve ser de um usuário que tenha acesso de Administrador Local ao host retransmitido e a assinatura SMB deve estar desativada.
Se você puder introduzir uma máquina dentro da rede, poderá usar qualquer uma das ferramentas da seção a seguir para realizar um ataque de relé e não precisará se preocupar com isso.
No entanto, em equipes de segurança ofensiva, esse não é o caso. Geralmente, você precisará encaminhar o tráfego da porta 445 de uma máquina Windows para sua máquina executando qualquer uma das seguintes ferramentas e, em seguida, rotear o tráfego dessa ferramenta de volta por meio de um proxy para alcançar a máquina a ser atacada internamente.
A ferramenta [**PortBender**](https://github.com/praetorian-inc/PortBender) é um driver para redirecionar o tráfego destinado à porta 445 para outra porta (por exemplo, 8445) que podemos vincular. Ele requer acesso de administrador local para que o driver seja carregado. Faz sentido usar `cd C:\Windows\System32\drivers`, já que é onde a maioria dos drivers do Windows vão.
Metasploit é um framework de teste de penetração que permite testar a segurança de sistemas e redes. Ele fornece uma ampla gama de ferramentas e módulos para automatizar tarefas de teste de penetração, incluindo a exploração de vulnerabilidades conhecidas, a criação de payloads personalizados e a realização de ataques de engenharia social. O Metasploit é amplamente utilizado por profissionais de segurança cibernética e hackers éticos para testar a segurança de sistemas e redes.
O smbrelayx é uma ferramenta que permite a realização de ataques de relé SMB. Esses ataques exploram a autenticação NTLM do SMB para obter acesso a sistemas remotos. O smbrelayx pode ser usado para obter acesso a sistemas que não estão diretamente acessíveis a partir da rede do atacante, mas que podem ser alcançados por meio de um sistema intermediário.
O smbrelayx funciona interceptando solicitações SMB e, em seguida, encaminhando essas solicitações para o sistema de destino. O sistema de destino responde com uma resposta NTLM, que é então usada para autenticar o atacante no sistema de destino.
O smbrelayx pode ser usado em conjunto com outras ferramentas, como o Responder, para automatizar o processo de interceptação e encaminhamento de solicitações SMB. Isso torna o smbrelayx uma ferramenta poderosa para a realização de ataques de relé SMB em larga escala.
É importante notar que os ataques de relé SMB podem ser extremamente perigosos, pois podem permitir que um atacante obtenha acesso a sistemas críticos sem a necessidade de autenticação. Portanto, é importante que as organizações implementem medidas de segurança adequadas para proteger seus sistemas contra esses tipos de ataques.
No Windows, você **pode ser capaz de forçar algumas contas privilegiadas a se autenticarem em máquinas arbitrárias**. Leia a página a seguir para aprender como:
Se estiver usando o servidor DHCP da Microsoft, selecione o escopo para o qual deseja desativar o NBT-NS. Clique com o botão direito em "Opções de Escopo" e clique em "Configurar Opções". No exemplo abaixo, o escopo DHCP no qual desejo desativar o NBT-NS é 192.168.1.100.
Para mitigar o ataque WPAD, você pode adicionar uma entrada para "wpad" em sua zona DNS. Observe que a entrada DNS não precisa apontar para um servidor WPAD válido. Desde que as consultas sejam resolvidas, o ataque será impedido.
1\. **Forçando a assinatura SMB em todas as máquinas Windows locais**. Essa configuração assina digitalmente cada sessão SMB, o que força o cliente e o servidor a verificar a origem dos pacotes antes de continuar. Essa configuração é ativada por padrão apenas em controladores de domínio. Os seguintes artigos da Microsoft detalham essas configurações (que podem ser ativadas por meio de política de grupo) e como implementá-las.
2\. **Revisando e garantindo que os usuários na rede local só possam fazer login remotamente em máquinas em que é necessário**. Por exemplo: Sally só pode fazer login na estação de trabalho de Sally. Se um invasor interceptar a sessão de autenticação SMB de Sally, ele não poderá transmitir a sessão para nenhuma estação de trabalho, tornando esse método inútil.
3\. **Restringir a autenticação NTLM na rede local o máximo possível**. Esse ataque não pode aproveitar a autenticação Kerberos, portanto, limitando a quantidade de NTLM que está ocorrendo, esse ataque pode ser grandemente prejudicado. Há informações da Microsoft sobre como fazer isso, mas tenha cuidado... Se a autenticação Kerberos falhar por qualquer motivo, geralmente volta para o NTLM. Se você desativá-lo completamente, sua rede pode parar.
4\. **Prevenir usuários não autorizados em sua rede**. Uma ameaça interna provavelmente não estará utilizando um ataque SMB Relay, pois já possui credenciais de rede. Reforçando suas políticas de segurança física, impedindo dispositivos não autorizados na rede com ACLs e filtragem MAC e garantindo a segmentação adequada da rede, você pode limitar muito a ameaça desse ataque ser executado.
* Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Descubra [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Compartilhe suas técnicas de hacking enviando PRs para o** [**repositório hacktricks**](https://github.com/carlospolop/hacktricks) **e o** [**repositório hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
