Responder

Définition

Responder est un outil de capture de hachages NTLM et NTLMv2 qui répond à des requêtes de protocoles de résolution de noms sur les réseaux locaux Windows. En exploitant les mécanismes de résolution de noms de Windows (LLMNR, NBT-NS, mDNS) qui diffusent des requêtes en broadcast quand la résolution DNS échoue, Responder capture les authentifications NTLM et permet soit de cracker les hachages hors ligne, soit de les relayer vers d'autres services. LLMNR (Link-Local Multicast Name Resolution) et NBT-NS (NetBIOS Name Service) sont des protocoles de résolution de noms de secours dans Windows. Quand DNS ne peut pas résoudre un nom, Windows diffuse en multicast/broadcast une requête LLMNR ou NBT-NS à tous les hôtes du segment réseau local. Responder répond à ces requêtes en se faisant passer pour l'hôte demandé, forçant la machine Windows à s'authentifier vers Responder avec ses credentials NTLMv2. Responder implémente des serveurs factices pour de nombreux protocoles : SMB, HTTP, HTTPS, FTP, LDAP, SQL, SMTP, et d'autres. Pour chaque service, quand une machine Windows tente de s'authentifier (après avoir été redirigée par Responder), le hachage NTLMv2 de l'utilisateur est capturé et affiché dans la console Responder. Ces hachages NTLMv2 capturés peuvent être utilisés de deux manières : le cracking offline avec Hashcat (hashcat -m 5600 hash.txt rockyou.txt) pour récupérer le mot de passe en clair, ou le NTLM Relay attack (avec impacket-ntlmrelayx) pour relayer l'authentification capturée vers d'autres services (SMB d'autres machines, LDAP, SQL Server) et effectuer des actions en tant que l'utilisateur capturé. Des opérations aussi courantes que l'accès à un partage réseau mal typé ou une redirection de résolution DNS en erreur déclenchent des captures Responder passives, sans que l'utilisateur victime ne s'en aperçoive.