Obtener credenciales claras o hashes NTLMv2 de usuarios del dominio mediante ataques Man-in-the-Middle sobre LLMNR y NBT-NS, usando herramientas como Responder o Inveigh.
Estas credenciales nos permitirán obtener un foothold inicial o avanzar en la cadena de ataque mediante técnicas como password spraying, relaying o movimientos laterales.
🧭 1. Introducción
Hasta ahora ya hemos completado nuestra enumeración inicial del dominio, recopilando:
Usuarios y grupos básicos
Hosts críticos (incluyendo el Domain Controller)
Servicios sensibles: Kerberos, SMB, LDAP, WinRM
Esquema de nombres y patrones del dominio
El siguiente paso natural es capturar credenciales aprovechando cómo Windows resuelve nombres cuando DNS falla.
Aquí es donde entran:
LLMNR (UDP 5355)
NBT-NS (UDP 137)
Estos protocolos permiten que cualquier máquina responda a solicitudes de resolución.
Perfecto para nosotros: podemos suplantar al host solicitado y capturar NTLM.
📡 2. ¿Qué es LLMNR y NBT-NS?
Cuando un usuario Windows intenta acceder a un recurso inexistente, por ejemplo:
\\printer01.inlanefreight.local
Y DNS falla, el host hace broadcast:
Primero por LLMNR
Si no obtiene respuesta, por NBT-NS
Vulnerabilidad clave
Cualquier equipo puede responder a estas peticiones y hacerse pasar por el servidor solicitado.
Esto permite:
✔ Capturar hashes NTLMv1/NTLMv2
✔ Forzar autenticación a un rogue server
✔ Relayar credenciales si SMB signing está deshabilitado
🧨 3. Flujo del ataque (resumen)
Un usuario comete un error al escribir un nombre de host.
DNS responde: no existe.
El equipo envía una petición LLMNR/NBT-NS al broadcast local.
Nosotros (Responder) contestamos falsamente diciendo: "Sí, yo soy ese host"
El cliente intenta autenticarse contra nosotros → NTLMv2 hash capturado
Crackeamos el hash offline (Hashcat) o lo usamos en un SMB Relay.
Tip
Este ataque suele funcionar incluso en redes bien configuradas.
Muchas empresas no deshabilitan LLMNR/NBT-NS.
🛠️ 4. Herramientas disponibles
Herramienta
Uso
Responder
Poisioning completo + rogue server SMB/HTTP
Inveigh
Versión en PowerShell/C# útil desde Windows
Metasploit
Módulos de spoofing pero menos eficaces
En esta sección trabajaremos desde Linux con Responder.
🧰 5. Uso de Responder
Revisar parámetros principales
responder -h
Parámetros importantes:
Flag
Descripción
-I
Interfaz de red (obligatorio)
-A
Modo análisis (solo escucha)
-w
WPAD rogue proxy
-f
Fingerprinting del host víctima
-v
Verboso
Puertos necesarios
Responder requiere múltiples puertos abiertos (UDP/TCP 53, 137, 138, 389, 80, 445…).
Si otro servicio los usa, Responder fallará.
▶️ 6. Iniciar Responder
Modo ataque (completo):
sudo responder -I ens224
Tip
Lo ideal: dejarlo ejecutándose en tmux mientras realizamos más enumeración.
Capturas más hashes con el tiempo.
