Responder工具详解：内网渗透测试中的LLMNR/NBT-NS协议毒化与防御

1. 项目概述：为什么Responder是渗透测试的“瑞士军刀”？

在内部网络渗透测试或者红队评估中，我们常常会遇到一个看似简单却极其关键的环节：如何在不直接攻击目标主机的情况下，获取到有价值的凭据？很多新手可能会立刻想到暴力破解或者漏洞利用，但这些方法动静大、风险高，容易被防御系统察觉。而Responder这款工具，则提供了一种更为优雅、隐蔽且高效的解决方案——它本质上是一个LLMNR、NBT-NS和MDNS毒化工具。简单来说，它能在局域网内“冒充”其他机器，诱使受害者主机将本应发送给合法服务器的登录凭据，错误地发送到我们控制的机器上。

我第一次接触Responder是在一次授权的内网渗透测试中。目标网络规模庞大，常规扫描和漏洞利用进展缓慢。在尝试了多种方法无果后，我部署了Responder，仅仅过了几分钟，控制台就开始源源不断地收到Net-NTLMv2哈希。这些哈希虽然不能直接用于登录，但可以通过离线破解或中继攻击，最终拿到域内主机的访问权限，从而一举打开局面。从那以后，Responder就成了我工具箱里的常备利器。它配置简单，但功能强大，理解其工作原理并掌握其高级配置，是每一个从事内网安全测试人员必须跨越的门槛。本文将带你从零开始，不仅教你如何安装和运行Responder，更会深入其配置文件的每一个细节，分享实战中的高级技巧和避坑指南，让你真正掌握这把网络渗透测试的“瑞士军刀”。

2. Responder核心原理与工作模式深度解析

要玩转Responder，绝不能停留在“运行一下看看”的层面。你必须清楚它在网络底层做了什么，这样才能在复杂的网络环境中灵活运用，并有效规避检测。

2.1 协议毒化：Responder的“诱饵”是如何工作的？

Responder主要利用三种局域网名称解析协议的缺陷：LLMNR（链路本地多播名称解析）、NBT-NS（NetBIOS名称服务）和MDNS（多播DNS）。在Windows网络中，当一台计算机尝试访问另一台计算机（比如通过\\fileserver\share）时，它会按以下顺序进行解析：

1. 检查本地Hosts文件。
2. 查询DNS服务器。
3. 如果DNS查询失败，它会使用LLMNR（在IPv6环境下）或NBT-NS（在IPv4环境下）在本地网络中进行广播查询，问“谁知道fileserver的地址？”
4. 对于.local域名的设备，会使用MDNS。

Responder所做的，就是监听这些广播查询。当它听到有主机在询问“fileserver在哪里？”时，如果这个“fileserver”不存在或者DNS解析失败，Responder会立刻跳出来响应：“我就是fileserver！我的IP是[攻击者IP]”。受害主机信以为真，便会尝试向攻击者的IP地址进行SMB、HTTP、FTP等协议的连接和身份认证。此时，Responder会要求对方进行NTLM认证，从而捕获到Net-NTLMv2哈希。

注意：捕获到的是Net-NTLMv2哈希，而非NTLM哈希。前者是挑战-响应过程的产物，不能直接用于Pass-the-Hash攻击，但可以通过工具（如Hashcat）进行离线破解，或者通过NTLM中继攻击（如使用Impacket的ntlmrelayx.py）直接利用。

2.2 被动监听与主动响应：两种模式的抉择

Responder默认运行在“主动响应”模式。这意味着它会积极回应所有它监听到的LLMNR、NBT-NS和MDNS查询。这种模式效率最高，但也最容易被网络监控设备发现异常的网络广播流量。

在Responder.conf配置文件中，你可以切换到“分析”模式（Analytic Mode = On）。在此模式下，Responder只会监听和记录网络中的这些协议查询，而不会做出任何响应。这有什么用呢？在前期侦察阶段，你可以先用分析模式跑一段时间，看看目标网络内这些协议的使用是否活跃。如果发现大量LLMNR查询，那么毒化攻击的成功率会非常高；反之，如果网络管理严格，禁用了这些协议，那你可能需要调整攻击思路。这体现了“知己知彼”的原则，避免盲目攻击打草惊蛇。

2.3 SMB、HTTP与其他服务：多管齐下的凭据捕获

Responder的强大之处在于它模拟了多种服务。默认情况下，它会开启SMB、HTTP、SQL、FTP等多种服务的模拟。当受害者被毒化后，其发起的对应协议连接都会被Responder截获。

• SMB：这是最经典、最有效的场景。用户尝试访问一个不存在的网络共享路径时触发。
• HTTP：当用户在浏览器中误输入一个不存在的内部主机名（如http://intranet）时，如果该请求需要认证（如代理认证、站点认证），Responder可以捕获到HTTP层面的NTLM认证信息。
• 其他服务：如FTP、POP3、IMAP等，原理类似。

在配置文件中，你可以精细控制开启或关闭哪些服务。例如，如果你只想捕获SMB和HTTP的哈希，可以关闭其他所有服务，这样能减少工具的网络“噪音”，也更专注于目标。

3. 从零开始：Responder的安装与环境配置

工欲善其事，必先利其器。Responder通常预装在Kali Linux、Parrot OS等渗透测试发行版中。但为了理解其全貌，我们从头开始。

3.1 系统准备与依赖安装

Responder是一个Python工具，因此首先需要Python环境。建议使用Python 3。

# 更新系统包列表 sudo apt-get update # 安装Python3和pip（如果尚未安装） sudo apt-get install python3 python3-pip -y # 克隆Responder的官方仓库 git clone https://github.com/lgandx/Responder.git # 进入目录 cd Responder

Responder的核心依赖不多，主要是Python标准库和netifaces等。通常可以直接运行。但为了确保功能完整，可以安装推荐的依赖：

pip3 install netifaces

3.2 首次运行与基础参数解读

安装完成后，不要急着用默认配置运行。先使用-h参数查看所有选项。

python3 Responder.py -h

你会看到一长串参数，其中几个最关键：

• -I或--interface：指定监听的网络接口。这是最重要的参数，你必须告诉Responder在哪个网卡上监听。使用ifconfig或ip addr命令查看你的网络接口名称（如eth0,tun0,wlan0）。
• -w或--wpad：启用或禁用WPAD（Web代理自动发现协议）服务器。WPAD毒化是另一种强大的攻击方式，可以强制用户浏览器通过我们的代理上网，从而截获更多流量。但默认是关闭的，因为攻击性较强。
• -r或--analyze：启用分析模式（只监听，不响应）。
• -f或--fingerprint：对请求进行指纹识别，有助于识别主机类型。

一个最基础的启动命令如下：

sudo python3 Responder.py -I eth0

这里使用sudo是因为需要监听网络流量（RAW Socket），需要root权限。运行后，你会看到一个ASCII艺术logo和控制台界面，显示Responder正在监听指定接口。

3.3 配置文件Responder.conf的初步探索

运行目录下的Responder.conf文件是Responder的灵魂。在首次运行前，强烈建议先备份一份，然后仔细阅读。

cp Responder.conf Responder.conf.bak nano Responder.conf

配置文件采用INI格式，分为几个部分，如[Responder Core],[HTTP Server],[SMB Server]等。在[Responder Core]部分，你会看到如下关键设置：

• Challenge = 1122334455667788：这是NTLM认证过程中服务器生成的随机挑战码。保持默认即可，不要修改。在某些特定的中继攻击场景下，固定挑战值可能有用，但对于单纯的哈希捕获，默认值没问题。
• SQL = On/SMB = On/HTTP = On：这些开关控制对应服务的开启与关闭。
• SessionLog = /path/to/log：指定会话日志的路径，记录所有活动。

第一次配置，我建议你先保持所有默认设置不变，仅仅是为了感受工具的运行。在后续的章节中，我们会深入调整这些参数以适应复杂场景。

4. Responder.conf配置文件逐行精讲与高级调优

默认的Responder.conf能工作，但要想在真实、复杂且有防护的网络中游刃有余，必须对其进行定制化调整。这部分内容往往是很多教程忽略的，却是实战成败的关键。

4.1 [Responder Core]：核心行为控制

这个模块定义了Responder的全局行为。

• Analytic Mode = Off：如前所述，设为On则进入只监听不响应的分析模式。
• Challenge = 1122334455667788：再次强调，除非你明确知道在做什么（例如配合某些中继攻击工具），否则不要动它。
• Database = Responder.db：SQLite数据库文件路径，用于存储捕获的数据。你可以将其指向一个RAM磁盘（如/tmp/）以提升性能，或在取证后方便清理。
• Logging = True：是否启用日志。务必保持开启，日志是事后分析和报告编写的依据。

高级技巧：服务端口自定义默认情况下，Responder的SMB服务监听在445/TCP和139/TCP，HTTP监听在80/TCP。但在某些情况下，目标网络可能出站流量受限，只允许访问特定端口（如web服务器的443）。你可以在[Responder Core]部分修改：

SMB = On HTTP = On HTTP Port = 8080 HTTPS Port = 8443

这样，你可以将HTTP/HTTPS服务绑定到非标准端口，然后结合其他手段（如钓鱼邮件中的链接是http://your-fake-site:8080）来诱导连接。这需要社会工程学的配合。

4.2 服务模块配置：以[SMB Server]和[HTTP Server]为例

每个服务模块的配置逻辑相似。以[SMB Server]为例：

• SMB = On：总开关。
• SMB Port = 445：监听端口。注意：在Linux上绑定445端口需要root权限，且如果系统本身有Samba服务在运行，会导致端口冲突。务必确保端口空闲。
• SMB2Support = On：是否支持更现代的SMB2协议。务必保持开启，因为现代Windows系统默认使用SMB2/3。

[HTTP Server]部分有一个关键选项：

• Serve-Always = On：这个选项非常有用。当设置为On时，无论收到的HTTP请求是什么（GET /, POST /login等），Responder都会返回一个要求NTLM认证的401页面。当设置为Off时，它只对特定的文件请求（如/wp-admin,/files等内置的诱饵列表）进行响应。在实战中，如果你希望最大化捕获机会，可以设为On。但如果你希望行为更隐蔽，只针对常见的误输入路径进行响应，可以设为Off并自定义Serve-Exe、Serve-Html等诱饵文件。

4.3 诱饵定制化：让攻击更具针对性

Responder内置了一些伪造的文件名作为诱饵，例如当有人请求\\fileserver\secret.docx时，如果fileserver被毒化，Responder会响应。你可以在配置文件中找到[Responder Core]下的RespondTo和RespondToName选项，但更常用的是通过命令行参数-b或--basic来指定一个自定义的诱饵文件。

你可以创建一个文本文件baitlist.txt，里面每行写一个你想响应的主机名或服务名：

fileserver intranet printer nas backup

然后运行：

sudo python3 Responder.py -I eth0 -b baitlist.txt

这样，Responder只会对列表中包含的查询进行响应，大大提高了攻击的隐蔽性和针对性，避免了因响应所有查询而产生的异常流量风暴。

5. 实战演练：结合场景的Responder攻防实操

理解了原理和配置后，我们通过几个典型场景，将Responder用起来。

5.1 场景一：基础内网哈希捕获

这是最常见的场景。你已通过某种方式（如物理接入、Wi-Fi破解、初始漏洞突破）进入了目标内网，获得了一个IP地址。

1. 信息收集：首先，用ip addr确认你的内网接口（比如eth1）和IP段（比如192.168.1.0/24）。
2. 网络侦察：先以分析模式运行几分钟，了解网络状况。

   sudo python3 Responder.py -I eth1 -r

   观察控制台输出，看是否有大量的LLMNR/NBT-NS查询。如果一片寂静，可能目标网络禁用了这些协议，这个攻击向量可能无效。
3. 发起攻击：关闭分析模式，正式启动Responder。

   sudo python3 Responder.py -I eth1 -w

   这里加上了-w参数，开启了WPAD毒化，增加了攻击面。
4. 触发与捕获：现在，你需要等待或诱导网络内的用户触发请求。常见的触发方式包括：
   • 等待用户自己输错共享路径。
   • 结合ARP欺骗，将网关或重要服务器的流量短暂劫持到你的机器，干扰其名称解析。
   • 发送钓鱼邮件，内含无法解析的内部链接（如<img src="\\intranet\logo.png">），当邮件客户端或用户预览时就会触发解析请求。
5. 结果查看：捕获到的Net-NTLMv2哈希会显示在Responder控制台上，并默认保存在/usr/share/responder/logs/（Kali默认路径）或你指定的日志目录中。哈希格式类似于：

   [SMB] NTLMv2-SSP Client : 192.168.1.105 [SMB] NTLMv2-SSP Username : DOMAIN\John.Doe [SMB] NTLMv2-SSP Hash : John.Doe::DOMAIN:1122334455667788:2F6CC...（很长一串）

5.2 场景二：与NTLM中继（Impacket）的联动攻击

单纯捕获哈希需要离线破解，耗时且可能失败。更高级的用法是NTLM中继攻击：我们不保存哈希，而是将其即时“中继”到另一台机器，尝试进行认证并执行命令。这需要用到Impacket套件中的ntlmrelayx.py。

1. 配置Responder：首先，必须关闭Responder的SMB和HTTP服务，因为我们要将认证流量中继出去，而不是在本地响应。编辑Responder.conf，设置：

   SMB = Off HTTP = Off

   或者，更简单的方法是通过命令行参数禁用：

   sudo python3 Responder.py -I eth1 --disable-smb --disable-http

   这样，Responder只负责毒化（响应LLMNR等查询），告诉受害者“我在这里”，但当受害者发起SMB/HTTP连接时，Responder不会处理，流量会被转发给ntlmrelayx。
2. 启动ntlmrelayx：在另一个终端，启动中继工具，指定目标。例如，我们将认证中继到域控制器192.168.1.1，并尝试转储其内存中的凭据。

   impacket-ntlmrelayx -t smb://192.168.1.1 -smb2support -c "whoami" -of hashes_dumped.txt

   • -t：指定中继目标。
   • -smb2support：启用SMB2支持。
   • -c：执行指定的命令（这里只是测试，用了whoami）。更常见的攻击是使用-e参数上传并执行一个后门程序，或者使用--dump-lsa等选项转储目标SAM或LSA秘密。
3. 联动效果：当网络内用户被毒化并尝试访问伪造的SMB共享时，其认证请求会被Responder引导至你的主机，然后由ntlmrelayx截获并中继到域控制器。如果该用户在域控制器上有权限（例如，是域管理员），那么ntlmrelayx将以他的身份在域控制器上成功执行你指定的命令。

5.3 场景三：针对特定目标的精准毒化

在高度监控的网络中，无差别响应所有查询风险极高。我们可以进行精准打击。

1. 网络扫描：使用nbtscan或nmap扫描内网，找出存活的Windows主机和它们的主机名、域名。

   nmap -sU -p137 --script nbstat.nse 192.168.1.0/24

2. 制作目标列表：假设我们想针对主机名为FINANCE-PC和HR-SERVER的两台机器。
3. 部署Responder：使用-b参数加载目标列表，并可能结合-i参数指定只毒化来自特定IP的请求（但Responder本身不支持源IP过滤，通常需要配合防火墙规则或更复杂的脚本）。

   sudo python3 Responder.py -I eth1 -b targetlist.txt

4. 触发：通过鱼叉式钓鱼，向目标用户发送包含\\FINANCE-PC\budget.xlsx这类链接的邮件，精准触发该主机名的解析请求。

6. 防御视角：如何检测与防范Responder攻击？

作为一名安全从业者，知攻更要知防。了解攻击手段是为了更好地防御。

6.1 主机层面防御（治本）

最根本的防御是彻底禁用不必要的名称解析协议。

• 禁用LLMNR：在组策略编辑器（gpedit.msc）中，导航到计算机配置 -> 管理模板 -> 网络 -> DNS客户端，启用“关闭多播名称解析”，将其设置为“已启用”。
• 禁用NBT-NS：在网络适配器的“Internet协议版本 4 (TCP/IPv4)”属性中，点击“高级”，在“WINS”选项卡下，选择“禁用 TCP/IP 上的 NetBIOS”。
• 启用SMB签名：SMB签名可以防止中继攻击。在域控制器和重要服务器上强制启用SMB签名。但请注意，这可能会对性能有轻微影响，并且需要所有客户端支持。
• 使用强密码：Net-NTLMv2哈希的离线破解难度远高于NTLMv1，但仍可被破解。强制使用长且复杂的密码（14位以上，包含大小写、数字、符号）能极大增加破解成本和时间。
• 限制NTLM使用：在域环境中，尽可能使用Kerberos认证，并通过组策略限制NTLM的使用。

6.2 网络层面监控（治标）

• 网络流量分析：部署IDS/IPS或网络流量分析工具，监控异常的LLMNR/NBT-NS响应。正常情况下，这些协议查询应该很少，且响应者应该是已知的服务器或不存在（无响应）。如果发现一个IP地址频繁地响应各种不同的名称查询，这就是一个强烈的攻击告警信号。
• 日志审计：在终端主机上启用并集中收集Windows安全日志（事件ID 4624、4648等），关注登录失败的来源IP地址。如果大量登录失败来自同一个非标准的内部IP（攻击者主机），需要警惕。

6.3 安全意识培训

许多攻击的起点是用户失误。培训用户：

• 不要点击来源不明的邮件链接或附件。
• 在输入网络路径时仔细核对。
• 如果遇到意外的身份认证弹窗，应立即取消并报告给IT部门。

7. 进阶技巧与疑难问题排查实录

在实际使用中，你肯定会遇到各种问题。这里分享一些踩坑得来的经验。

7.1 常见问题与解决方案速查表

问题现象	可能原因	解决方案
运行Responder无任何输出	1. 指定了错误的网络接口。 2. 接口处于非混杂模式或未启用。 3. 防火墙阻止了端口绑定。	1. 用ip addr确认接口名，确保-I参数正确。 2. 使用sudo运行。检查接口状态ip link show eth0。 3. 检查本地防火墙规则（如iptables），放行相关端口。
捕获不到哈希	1. 目标网络禁用了LLMNR/NBT-NS。 2. 没有用户触发请求。 3. Responder服务端口冲突。	1. 先用分析模式(-r)侦察。若无流量，考虑其他攻击路径。 2. 主动诱导（如ARP欺骗、钓鱼）。 3. 检查445、80等端口是否被其他程序占用：sudo netstat -tlnp | grep :445。
捕获的哈希无法破解	1. 密码强度极高。 2. 捕获的是Net-NTLMv1哈希（安全性低，已少见）。 3. Hashcat规则或字典不合适。	1. 尝试更大的字典或更强大的规则（如rockyou-30000规则）。 2. 确认哈希格式。Net-NTLMv2以用户名::域名:...开头。 3. 确保使用正确的Hashcat模式（-m 5600对应Net-NTLMv2）。
与ntlmrelayx联动失败	1. Responder的SMB/HTTP服务未关闭，截留了流量。 2. 目标服务器要求SMB签名。 3. 中继目标不可达或权限不足。	1.务必通过--disable-smb --disable-http或修改.conf文件来关闭Responder的相关服务。 2. 寻找不要求SMB签名的目标（如Exchange服务器、某些WebDAV）。 3. 检查网络连通性，并确保中继用的账户在目标上有相应权限。
WPAD攻击不生效	1. 客户端浏览器或系统代理设置未启用自动检测。 2. 网络策略禁止WPAD。	1. 现代浏览器和系统默认设置可能已更安全。此攻击向量成功率在降低。 2. 结合其他社会工程学方法，手动诱导用户配置代理。

7.2 性能优化与隐蔽性提升技巧

• 日志管理：在长时间测试中，日志文件可能变得巨大。可以定期清理，或使用logrotate等工具进行管理。将数据库和日志放在内存文件系统（/tmp/）中，测试结束后自动清除，更安全。
• 降低指纹特征：Responder的默认HTTP响应头、SMB横幅等可能有特征值。高级用户可以修改源代码（packets.py等文件）中的相关字段，使其看起来更像一个正常的Windows Server或IIS服务器，以规避简单的特征检测。
• 速率限制：Responder本身没有内置的响应速率限制。在繁忙的网络中，疯狂响应所有查询可能造成网络波动，引起警觉。可以考虑使用iptables对从你的主机发出的特定类型响应包进行限速，但这需要较深的网络知识。
• 结合Empire、Cobalt Strike等C2框架：可以将Responder捕获的哈希或中继获得的会话，直接传递给C2框架，实现自动化横向移动。这需要编写自定义的模块或脚本进行集成。

Responder的威力在于其简单和底层。它不依赖于复杂的漏洞，而是利用了协议设计上的缺陷和用户的使用习惯。掌握它，意味着你掌握了内网横向移动的一把关键钥匙。但记住，能力越大，责任越大。仅在获得明确授权的环境中使用这些技术，并始终将你的技能用于建设更安全的网络环境。真正的安全专家，既是敏锐的攻击者，更是坚实的防御者。