🕵️ Что такое Responder? Когда начинают разбирать внутренний пентест Windows-сети, довольно быстро встречается инструмент Responder. Особенно часто он появляется рядом с такими понятиями: LLMNR → NBT-NS → mDNS → NTLM → Responder

📌 Responder — это инструмент для анализа небезопасных механизмов разрешения имён и NTLM-аутентификации внутри локальной сети.

Проще говоря, он помогает пентестеру проверить, может ли компьютер пользователя по ошибке обратиться не к тому устройству и попытаться передать ему данные для NTLM-аутентификации. 🧠 Откуда вообще появляется проблема? Представим ситуацию. Пользователь пытается открыть:

\\fileserver\docs

Но случайно вводит:

\\filesevrer\docs

DNS не знает такого имени. Windows может попытаться найти устройство другими способами, используя локальные механизмы разрешения имён, например: — LLMNR; — NBT-NS; — в некоторых сценариях mDNS. В сети появляется вопрос:

«Кто такой

filesevrer

?»

И если злоумышленник или пентестер находится в том же сетевом сегменте, он может попытаться ответить:

«Это я».

📌 Что происходит дальше Упрощённо схема выглядит так:

Пользователь
      ↓
Не может найти сервер через DNS
      ↓
LLMNR / NBT-NS запрос
      ↓
Responder отвечает
      ↓
Windows пытается выполнить NTLM-аутентификацию

Именно здесь появляется возможность обнаружить небезопасную передачу NTLM-аутентификационных данных. 💀 Почему это интересно пентестеру? Потому что такая ситуация показывает сразу несколько проблем инфраструктуры: — используются устаревшие механизмы разрешения имён; — рабочие станции доверяют ответам внутри локального сегмента; — используется NTLM; — отсутствует достаточная сегментация сети; — пользователи и сервисы могут автоматически инициировать аутентификацию. При внутреннем пентесте Responder часто помогает показать, насколько легко атакующий, уже оказавшийся внутри сети, может получить дополнительную информацию об учётных записях. 🔐 Responder не «ворует пароль напрямую» Это важный момент. Обычно речь идёт не о получении пароля пользователя в открытом виде. В NTLM-аутентификации используется механизм challenge-response. Упрощённо:

Сервер → challenge
Клиент → response

Поэтому пентестер получает данные, связанные с процессом NTLM-аутентификации, а не просто:

user:password

Дальше риск зависит от: — сложности пароля; — конфигурации сети; — настроек NTLM; — возможности дальнейшего relay-сценария. ⚔️ А причём здесь NTLM Relay? Вот здесь начинается самое интересное. Полученные NTLM-аутентификационные данные не всегда обязательно пытаться подбирать. В некоторых конфигурациях их можно попытаться перенаправить другому сервису. Это называется: NTLM Relay И здесь становится понятна наша предыдущая тема — SMB Signing. Цепочка начинает складываться:

LLMNR / NBT-NS
        ↓
Responder
        ↓
NTLM-аутентификация
        ↓
SMB Signing не требуется
        ↓
Возможность NTLM Relay

Поэтому все эти темы мы разбираем именно последовательно. 🔎 Что проверяет пентестер Во время аудита важно понять: — включены ли LLMNR и NBT-NS; — используется ли NTLM; — требуется ли SMB Signing; — какие устройства находятся в одном сетевом сегменте; — могут ли рабочие станции инициировать NTLM-аутентификацию к неизвестным узлам. Responder здесь выступает прежде всего как инструмент, позволяющий продемонстрировать последствия неправильной конфигурации. 🧠 Главная мысль Responder сам по себе не создаёт уязвимость. Он показывает уже существующую проблему:

компьютер не смог найти нужный ресурс, доверился ответу внутри локальной сети и попытался автоматически пройти NTLM-аутентификацию.

Именно поэтому Responder считается одним из классических инструментов внутреннего инфраструктурного пентеста. 📌 Наша цепочка теперь выглядит так:

SMB
 ↓
SMB Signing
 ↓
NTLM
 ↓
LLMNR / NBT-NS
 ↓
Responder
 ↓
NTLM Relay

#responder #ntlm #llmnr #smb #activedirectory #windows #pentest #infra

Two new Internet Atlas reports: Malaysia and Indonesia Southeast Asia's two heavyweight digital economies. Both building serious infrastructure. Both arriving at the same destination by completely different roads. Malaysia reads like a success story until you get to the legal chapters. 5G past 82% population coverage, IPv6 adoption above 70%, median mobile download speed near 200 Mbps, 34th in the world, Johor filling up with hyperscale data centres. Then September 2024: MCMC ordered every ISP to run transparent DNS proxies and hijack all queries, including those pointed at 8.8.8.8 and 1.1.1.1. Sinar Project and OONI documented it, the scandal went public, the directive was withdrawn. The lesson the government took away was not to stop — it was to stop doing it at the network layer. The Online Safety Act 2024 plus the deeming provisions of Section 46A CMA now let the minister unilaterally declare WhatsApp, Telegram, Facebook and TikTok licensed operators, whether they ever applied or not. Any platform above 8 million local users needs an ASP(C) licence, eKYC and industrial-scale moderation. The ceiling on fines went from 50,000 to 1,000,000 ringgit. Censorship has been outsourced to the platforms, and it is cheaper and much quieter that way. Indonesia went the opposite direction and built the filter into the pipes. The Trust Positif blacklist is pushed to every ISP through RPZ. Port 53 has been forcibly redirected to filtering resolvers since 2015. A 2024 directive funnels all international traffic through a short list of licensed Tier-1/NAP nodes, so smaller providers cannot quietly decline to comply. Steam, Epic Games, PayPal and Yahoo were blocked in 2022 over a registration deadline. DuckDuckGo followed in July 2024. In autumn 2024 the government confirmed it had blocked at least 30 free VPN services, blaming online gambling. Papua's 2019 shutdown was ruled illegal by a Jakarta court in 2020, after which outages in the province began to be explained by damaged cables. The irony is in the numbers: roughly 3,900 ASNs, 57 exchange points, up to 80% of traffic staying domestic. One of the most decentralised networks in the region, with a single centralised chokepoint bolted on top. Both reports cover 2019–2026 — infrastructure, ASN and connectivity dynamics, IPv6, legislation, blocking practice, prosecutions, civil society, VPN usage. https://ozi-ru.net/en/atlas.html

Посмотрел свежее интервью Митчелла Грина из Lead Edge Capital. Понравилась его формулировка: мы вполне можем быть в AI пузыре, он когда-нибудь лопнет, и при этом AI всё равно окажется больше интернета. Одно другого совершенно не исключает. Но занимает меня сейчас другое. Где в итоге останется экономическая ценность? Сегодня кажется, что ответ очевиден и это в железе. На фондовом рынке уже видна ротация от software к hardware. Nvidia стала главным символом AI бума, рядом растут производители памяти и сетевого оборудования, а также энергетическая инфраструктура. Хотя тут есть любопытный парадокс дешёвых токенов. Сами модели стремительно дешевеют: open source догоняет frontier-модели, Китай тоже. Тот же Kimi выпускает модели, которые по ряду задач приближаются к Claude, но стоят в разы дешевле. Корпорации уже активно считают экономику токенов - Uber, Spotify, Airbnb и другие могут запускать inference на открытых моделях через Fireworks, Baseten и аналогичные платформы существенно дешевле. Для огромного количества корпоративных задач прошлогодняя модель уже хватает с головой. То есть интеллект постепенно превращается в обычный товар. Казалось бы, для AI-инфраструктуры это медвежий сценарий: токены дешевеют, значит и денег на вычисления уйдёт меньше. Я думаю, будет ровно наоборот. Это парадокс Джевонса: рост эффективности ресурса часто не уменьшает его потребление, а увеличивает. Если inference подешевеет в 10 раз, компании не станут тратить в 10 раз меньше. Они запустят в 100 раз больше агентов. То, что сегодня экономически оправдано только для Fortune 500, станет доступно компании из 50 человек. А крупная корпорация вместо нескольких AI-use cases сможет постоянно держать тысячи агентов в продажах, разработке, finance, procurement, legal, customer service и R&D. Цена токена падает, а количество токенов растёт ещё быстрее. Поэтому среди моих фаворитов на этот год Nvidia, Micron и Broadcom. Для меня это три слоя одной ставки на экспоненциальный рост вычислений: ускорители, память и сетевая часть с заказными чипами. Но есть и риск. Исторически каждый раз, когда казалось, что вся ценность теперь навсегда осталась у производителей чипов, сами чипы со временем тоже коммодитизировались. Так что совсем не факт, что Nvidia будет забирать непропорциональную часть экономики AI следующие 20 лет. Но вот что произойдёт выше, на уровне приложений, понятно ещё меньше. Появятся ли огромные специализированные AI компании в медицине, legal, finance и enterprise software? или Claude, OpenAI, Gemini и open-source модели постепенно съедят большую часть этих приложений сами? По-моему, это сегодня и есть главный инвестиционный вопрос. Тут я честно не знаю. Мы пытаемся угадать победителей игры, которая началась пару лет назад и спокойно может тянуться ещё лет тридцать. Так что я допускаю и пузырь в оценках, и коммодитизацию моделей, и даже коммодитизацию чипов когда-нибудь, а вот коммодитизацию самого спроса на вычисления представить пока гораздо сложнее. Чем дешевле становится интеллект, тем больше железа потребуется миру, чтобы его производить. @maxvotek | linkedin | substack

Судно Kraaken сможет снабжать электричеством и водой целые прибрежные города Американская компания Optimal Transit представила новую конфигурацию многофункционального судна Kraaken. Оно рассчитано на подачу до 40 МВт электроэнергии и до 30 млн литров пресной воды в сутки в прибрежные районы, а также на размещение вычислительной инфраструктуры для ИИ. Судно спроектировано для работы в открытом море без топлива и подключения к наземной электросети. Несколько таких судов можно будет объединять в кластер для обеспечения энергией и водой больших прибрежных мегаполисов. https://hightech.plus/2026/08/13/sudno-kraaken-smozhet-snabzhat-elektrichestvom-i-vodoi-celie-pribrezhnie-goroda

🔐 Что такое SMB Signing? Мы уже разобрали, что такое SMB и зачем он используется в Windows-сетях. Теперь логичный следующий шаг — понять, что такое SMB Signing и почему пентестеры всегда обращают на него внимание.

📌 SMB Signing — это механизм, который добавляет цифровую подпись к SMB-сообщениям.

Проще говоря, он помогает убедиться, что: — сообщение действительно пришло от ожидаемой стороны; — данные не были изменены по пути; — трафик не был незаметно подменён посредником. 🧠 Зачем это вообще нужно? Представим, что компьютер обращается к файловому серверу по SMB. Без дополнительной защиты злоумышленник внутри сети потенциально может попытаться вмешаться в обмен данными. SMB Signing усложняет такую атаку, потому что каждая сторона проверяет подпись сообщений. Упрощённо:

Клиент
   ↓
SMB-запрос + подпись
   ↓
Сервер
   ↓
Проверка подписи

Если сообщение было изменено, проверка не пройдёт. ⚠️ Почему SMB Signing интересен пентестеру? Во время внутреннего аудита часто проверяют, является ли SMB Signing обязательным. Можно встретить ситуацию:

SMB Signing: enabled but not required

То есть механизм поддерживается, но его использование не обязательно. Или:

SMB Signing: required

Это уже более защищённый вариант. 📌 Если SMB Signing не обязателен, это может создать условия для некоторых relay-атак. Именно поэтому тема SMB Signing напрямую связана с NTLM Relay, который мы разберём дальше. 🔎 Как проверить SMB Signing Например, через Nmap:

nmap -p 445 --script smb2-security-mode 192.168.1.10

Результат может быть таким:

Message signing enabled but not required

или:

Message signing enabled and required

🛡 Что считается более безопасным Лучший вариант:

SMB Signing = Required

Потому что сервер будет принимать только подписанный SMB-трафик. Но важно понимать:

SMB Signing сам по себе не решает все проблемы безопасности SMB.

Он защищает именно целостность и подлинность сообщений, но не заменяет: — правильные права доступа; — сегментацию сети; — защиту учётных данных; — обновление систем; — контроль NTLM. 📌 Главная мысль SMB Signing — это механизм защиты SMB-трафика от подмены. Для пентестера особенно важно понять:

SMB
   ↓
SMB Signing
   ↓
NTLM
   ↓
Responder
   ↓
NTLM Relay

Потому что дальше эти темы начинают складываться уже в одну цепочку атаки. #smb #smbsigning #ntlm #windows #ad #pentest #infra

Это очень смешно — смотрите: задача же стоит буквально "повысить доверие сертификата". Вот буквально. Что для этого делается? Расширяют список оснований для отзыва сертификата. Ну так если сертификат могут в любой момент отозвать, в том числе "если решит наш суд", то я вот вообще не понимаю, зачем кому-то нахер нужно с этим самым НУЦ возиться - делаешь-делаешь, там приходит "наш суд" и твоя работа превратилась в тыкву. Очень ободряет, да. Но вот это что значит?

если у владельца сертификата нет верного ключа идентификации

Это что значит, что сертификат может работать, если у владельца реально нет"верного ключа идентификации"? Я правильно понимаю, что можно запустить сертификат, подписанный НУЦ не имея "верного ключа идентификации"? Или как это работает, я нихера не понял? А если хацкер спиздит "верный ключ" и предъявит его, то что, все переходит хацкеру? Непонятное...

Сотрудник давно перешел в другой отдел, а доступ к старым системам остался. Потом еще один переход, еще несколько прав — и уже никто не понимает, зачем человеку половина из них. Со временем такой бардак копится по всей компании. Старые учетки остаются активными, права перестают соответствовать должностям, а уволенный сотрудник вообще может сохранить аккаунт с правами администратора. В лучшем случае проблемы всплывают во время аудита или миграции на новую систему. И часто выясняется, что вручную распутать все группы, доступы и старые аккаунты уже почти невозможно. А в худшем случае такие права могут использовать во вред. Разбираем, как наводить порядок в службах каталогов, почему одних скриптов для этого бывает мало и как находить лишние права до того, как они станут проблемой.