一.LLMNR协议
1.LLMNR简介
链路本地多播名称解析(LLMNR)是一个基于域名系统(DNS)数据包格式的协议,使用此协议可以解析局域网中本地链路上的主机名称。它可以很好地支持IPv4和IPv6,是仅次于DNS解析的名称解析协议。
2.LLMNR解析过程
LLMNR解析前提是本地hosts和DNS解析失败时,会使用LLMNR解析。LLMNR解析过程如图1-1所示。
1)主机在本地NetBIOS缓存名称中进行查询。
2)如果缓存名称中没有查询到,则以此向配置的主备DNS服务器发送解析请求。
3)如果主备DNS服务器没有回复,则向当前子网域发送多播,获取对应的IP地址。
4)本地子网域的其他主机收到并检查多播包,如果没有响应则请求失败。
从以上工作过程可以明白LLMNR是以多播形式进行查询的,类似于ARP通过MAC寻找IP地址。这样就存在一个欺骗攻击问题。
绘图2
3.LLMNR欺骗攻击
假设用户访问一个域名xxx,如图1-2所示,在hosts文件和DNS解析失败,此时会通过LLMNR协议进行广播请求,攻击者利用该广播请求时间向请求用户回复响应IP地址,这时xxx映射的IP就是攻击者IP,当用户访问xxx域名就会解析到攻击IP,进而攻击者便可以拿到net-ntlm hash。
绘图2_backup_311867
4.LLMNR防御措施
1)点击开始——运行——输入命令——打开本地组策略管理器,如图1-3所示。
gpedit.msc
图1-3 打开本地组策略管理器
2)打开计算机配置——管理模版——网络——DNS客户端,如图1-4所示。
图1-4 打开配置DNS客户端
3)双击打开“关闭多播名称解析”,如图1-5所示。
图1-5 打开“关闭多播名称解析”
4)将关闭多播名称解析中的状态改为“已禁用”,如图1-6所示。
图1-6 将关闭多播名称解析中的状态改为“已禁用”
二.NETBIOS协议
1. NETBIOS简介
NetBIOS是Network Basic Input/Output System(网上基本输入输出系统)的缩写,它是一种接入服务网络的接口标准,主机系统通过WINS服务、广播及Lmhost文件等多种模式,把NetBIOS名解析成对应的IP地址,实现信息通讯。因其占用资源小、传输快的特点,广泛应用于局域网内部消息通信及资源的共享。
2.NETBIOS服务类型
NetBIOS支持面向连接(TCP)和无连接(UDP)通信。它提供三个分开的服务:命名(NetBIOS names)、会话(NetBIOS sessions)、数据报(NetBIOS datagrams)。NetBIOS names为其他两个服务的基础。
NetBIOS服务类型在TCP/IP上的基本架构如图1-7所示。
IMG_295
下面我们针对三种常见的NetBIOS服务类型进行详细说明,如表1-1所示。
表1-1 三种常见的NetBIOS报文类型
服务类型 | 端口 | 具体描述 |
---|---|---|
Net BIOS names(NetBIOS名称服务) | UDP 137 | 鉴别资源。程序、主机都有独特的NetBIOS名称 |
Net BIOS datagrams(Net BIOS数据报) | UDP 138 | 无连接的将数据报发送到特定的地点、组、整个局域网。 |
Net BIOS sessions(Net BIOS会话服务) | TCP 139 | 提供给面向连接,可靠的,完全双重的信息服务。 |
3. NETBIOS解析过程
NetBIOS 协议进行名称解析的过程如下。
1)首先主机先检查本地NetBIOS缓存。
2)如果缓存中没有请求的名称,但是配置类WINS服务器,则向WINS服务器发送请求。
3)如果没有配置WINS服务器或WINS服务器无响应时,则和LLMNR一样向当前子网域发送广播。
4)如果子网域其他主机无响应,则读取本地的lmhosts(C:\Windows\System32\drivers\etc\)文件。
NetBIOS协议是发送UDP广播包进行解析,如果不配置WINS服务器,则和LLMNR一样会有欺骗攻击问题。
4. NETBIOS防御措施
1)输入命令ncpa.cpl,打开网络连接,如图1-33所示。
图1-8 输入命令ncpa.cpl打开网络连接
2)通过“本地连接——属性—Internet协议版本4——属性——高级”来配置,如图1-9、图1-10、图1-11所示。
图1-9 打开网络连接属性
图1-10 配置TCP/IPV4
图1-11 配置IP地址
3)在WINS标签栏的NetBIOS设置中禁用NetBIOS,如图1-12所示。
图1-12 在WINS标签栏中的NetBIOS设置中禁用NetBIOS
三.WPAD协议
1.Windows WPAD 简介
WPAD全称Web Proxy Auto-Discovery Protocol,也就是WEB代理自动发现协议(这里的代理就是我们在渗透中常用BURP的时候修改的代理设置)。它的作用是让局域网浏览器自动发现内网中的代理服务器,并且自动设置成该代理进行连接企业内网或者互联网。若系统开启了WPAD,那么主机就会在当前连接的局域网中去寻找代理服务器,找到之后会在代理服务器中下载PAC(Proxy Auto-Config)的配置文件(其实我们在日常中经常能看见当我们使用SSR的时候就会看见PAC自动模式),这个PAC文件会定义用户在访问什么地址的时候,使用什么代理进行访问,举一个常见易懂的例子,有些公司会对访问谷歌浏览器有一定的需求,那么他们就会搭建一个代理服务器,里面的PAC文件就会配置当访问谷歌浏览器的时候web代理自动使用到那个代理服务器上,同时浏览器将下载并解析该文件,将相应的代理服务器设置到浏览器中。
2.WPAD实现方式
我们前面说过主机会在当前连接的局域网中自动寻找代理服务器,它的实现方式主要分为两种。
(1)DHCP
在DHCP服务器中,DHCP服务器的252选项是被当作查询或者注册使用的指针,我们可以在DHCP服务器中添加一个用于查找WPAD主机的252项,内容是部署在WPAD主机上的PAC文件的URL,当客户端Web浏览器要访问某个地址时,Web浏览器会向DHCP服务器发送DHCP INFORM数据包来查询PAC文件的位置,DHCP服务器收到请求以后会返回DHCP ACK数据包进行响应,其中包含了选项和配置列表,在这些返回选项中的252选项就是代理自动配置文件的位置,Web浏览器就可以执行下载PAC文件请求。如图1-1所示,这是以DHCP的方式获取PAC示意图。
IMG_310
目前大多数内网中已经不再使用DHCP服务器对客户端的WPAD进行配置,而是逐渐采用较为简单的DNS服务器方式。
(2)DNS
第二种是目前使用最广泛的方式,通过DNS方式实现WPAD的原理是:先由Web浏览器向DNS服务器发起WPAD+X查询,DNS服务器接收到查询请求后返回提供WPAD主机的IP地址,Web浏览器通过该IP的80端口下载wpad.dat(浏览器配置用文件)和wspad.dat(防火墙配置用文件)以实现自动配置。例如:用户的计算机网络名称为test.xx.example.com,浏览器将依次尝试下列URL,以期成功在客户端的域中找到一个代理配置文件。如图1-2所示。
IMG_311
3.PAC文件内容
PAC文件最主要的作用是可以控制浏览器如何处理使用HTTP/HTTPS的流量,其实在每个PAC文件中都会包含一个FindProxyForURL函数,用来定义Web浏览器是直接将流量发送到Internet,还是将流量发送到代理服务器的规则,以下是PAC文件的具体配置内容。
代码语言:bash
复制
function FindProxyForURL(url, host) {
if (shExpMatch(host, "*.example.com"))
{
return "DIRECT";
}
if (isInNet(host, "10.0.0.0", "255.255.248.0"))
{
return "PROXY fastproxy.example.com:8080";
}
return "PROXY proxy.example.com:8080; DIRECT";
}
1)shExpMatch将尝试将主机名或URL与指定的shell表达式匹配,如果匹配则返回true。
2)isInNet 此函数判断主机名的IP地址,如果在指定的子网内则返回true。如果传递了主机名,该函数会将主机名解析为IP地址。
代码语言:bash
复制
if (shExpMatch(host, "*.example.com"))
{
return "DIRECT";
}
3)如果在host中匹配到了.example.com,就会返回true,DIRECT的意思是直连,那么这句话就是:如果访问了.example.com的URL那么就会直接连接,不走代理。
代码语言:bash
复制
if (isInNet(host, "10.0.0.0", "255.255.248.0"))
{
return "PROXY fastproxy.example.com:8080";
}
4)如果host在指定的IP范围内,那么就会通过代理fastproxy.example.com:8080进行访问。
作者:一只特立独行的兔先生
原文:Windows安全认证机制之Windows常见协议-腾讯云开发者社区-腾讯云