LLMNR中毒与强制认证

在企业网络中，DNS 被广泛使用。然而一些企业没有完美地配置 DNS，例如由于 DNS 表不完整、服务器不可用等导致标准 DNS 服务器无法解析一些用户请求的域名。

为了填补这一缺陷并拥有更流畅的网络，在这种情况下一些客户端被配置为使用替代名称解析协议。例如，默认情况下，Windows 主机被配置为依赖 LLMNR（本地链路多播名称解析）和 NBT-NS（NetBIOS 名称服务）解析。

DNS 是单播协议，这意味着用户直接向服务器请求名称解析，而 LLMNR、NBT-NS 是多播协议。这意味着如果攻击者也在使用这些协议的网络内，他可以回答随机名称解析请求并将客户端重定向到恶意服务器，即 LLMNR 中毒。

一旦攻击者能够回答 LLMNR、NBT-NS查询，他就可以选择将受害者重定向到等待传入访问请求的 NTLM 中继服务器。服务器然后可以要求客户端进行身份验证，然后继续将身份验证消息中继到所需的目标。至于中继攻击本身，我们在下一篇详细阐述。

Ref:

https://www.crowe.com/cybersecurity-watch/netbios-llmnr-giving-away-credentials#:~:text=LLMNR%20stands%20for%20link%2Dlocal,between%20hosts%20on%20local%20networks.