LLMNR-poisoning
Windows vraagt het hele lokale netwerk "kent iemand deze naam?" als DNS faalt, en iedereen mag ja zeggen. De eerste zet in bijna elke interne pentest.
Als een opzoeking mislukt, valt de client terug op LLMNR via UDP 5355 en NBT-NS via UDP 137, die beide geen enkele authenticatie kennen. Een aanvaller op hetzelfde segment draait Responder, beantwoordt alles, en wie een sharepad verkeerd intypte authenticeert zich argeloos bij de machine van de aanvaller. Het gesprek levert een NetNTLMv2-respons op die offline met hashcat in modus 5600 te kraken is of, veel effectiever, doorgestuurd kan worden naar een echte dienst. De oplossing is eenvoudig en gratis: beide protocollen via groepsbeleid uitschakelen en zorgen dat DNS echt antwoordt. Het gebeurt zelden, en daarom werkt de techniek nog steeds.