Что такое LLMNR и почему он опасен

Разбор протокола LLMNR: как он работает в Windows, почему становится вектором атаки для перехвата NTLM-аутентификации и что это значит для безопасности.

🟦 Что такое LLMNR и почему он опасен? Когда мы открываем ресурс в Windows, например:

\\fileserver\documents

компьютеру нужно понять:

"Какой IP-адрес у этого имени?"

Обычно этим занимается DNS. Но что происходит, если DNS не знает ответ? Windows может использовать дополнительные механизмы поиска: — LLMNR — NBNS — mDNS И именно здесь появляется интерес для пентестера. 🧠 Что такое LLMNR?

LLMNR (Link-Local Multicast Name Resolution) — это протокол разрешения имён внутри локальной сети.

Его задача:

помочь компьютерам найти друг друга без участия DNS-сервера.

Например: Пользователь вводит:

\\fileserwer\share

Но такого имени нет в DNS. Тогда Windows отправляет запрос:

Кто такой fileserwer?

Этот запрос получает вся локальная сеть. 💀 Где проблема? Windows доверяет ответу внутри сети. Например: Настоящего сервера нет. Атакующий отвечает:

Я fileserwer.

Windows думает:

Отлично, подключаюсь.

И может попытаться выполнить NTLM-аутентификацию. Схема:

Пользователь
      |
      | "Где fileserwer?"
      |
      ↓
    LLMNR
      |
      ↓
Атакующий отвечает:
"Это я"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно пентестеру? Потому что позволяет проверить: — используется ли LLMNR; — можно ли получить NTLM-аутентификацию; — есть ли условия для NTLM Relay; — насколько правильно настроена внутренняя сеть. #llmnr #ntlm #responder #windows #ad #pentest #infra

Что такое LLMNR и почему он опасен

Кратко (AI)

Обсуждение