LLMNR poisoning
Windows спрашивает всю локальную сеть: «кто знает это имя?», когда DNS не справился, — и отвечать может кто угодно. Первый ход почти любого внутреннего пентеста.
Если DNS-запрос не удался, клиент откатывается на LLMNR (UDP 5355) и NBT-NS (UDP 137), а в них нет никакой аутентификации. Атакующий в том же сегменте запускает Responder и отвечает на всё подряд; тот, кто опечатался в пути к общей папке, с готовностью авторизуется на его машине. На выходе — ответ NetNTLMv2, который можно подбирать офлайн через hashcat (режим 5600) или, что заметно эффективнее, перенаправить на настоящий сервис. Лечение простое и бесплатное: отключить оба протокола групповой политикой и убедиться, что DNS действительно отвечает. Делают это редко — поэтому приём до сих пор работает.