Respotter 是 Responder 蜜罐！一旦攻击者和红队在您的环境中启动 Responder，即可将其捕获

admin
admin
admin
139500
文章
114
评论
2024年7月26日21:40:52评论16 views字数 775阅读2分35秒阅读模式
 

响应者蜜罐
此应用程序利用Responder 会响应任何 DNS 查询这一事实来检测Responder的活动实例。Respotter 使用 LLMNR、mDNS 和 NBNS 协议来搜索不存在的虚假主机名（默认值：Loremipsumdolorsitamet）。如果任何请求得到响应，则意味着 Responder 可能正在您的网络上运行。
Respotter 可以将 webhook 发送到 Slack、Teams 或 Discord。它还支持将事件发送到 syslog 服务器以供 SIEM 提取。Webhook 警报的速率限制为每个 IP 每小时 1 次警报。
快速开始
docker run --rm --net=host ghcr.io/lawndoc/respotter
注意：--net=host由于在制作请求数据包时使用特权套接字，因此是必需的
演示

脆弱主机识别

Respotter 还将监听来自其他主机的 LLMNR、mDNS 和 NBNS 查询。来自其他主机的查询将发出警报，警告该主机可能容易受到 Responder 凭据窃取的影响。针对易受攻击主机的 Webhook 警报频率限制为每天每个 IP：协议 1 次警报。

Respotter 不会尝试毒害对嗅探查询的响应。毒害响应对蜜罐来说不是 opsec 安全的，并且可能会导致客户端出现问题。一旦 Respotter 发现易受毒害的主机，请使用 Responder 识别易受毒害的帐户。

其他说明

类似于 Responder 的工具（例如Inveigh）也可以被检测到，因为它们会执行类似的欺骗攻击。有关更多详细信息，请参阅 Mitre ATT&CK 上的LLMNR/NTB-NS 中毒。

https://github.com/lawndoc/Respotter

原文始发于微信公众号（Ots安全）：Respotter 是 Responder 蜜罐！一旦攻击者和红队在您的环境中启动 Responder，即可将其捕获

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年7月26日21:40:52
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Respotter 是 Responder 蜜罐！一旦攻击者和红队在您的环境中启动 Responder，即可将其捕获https://cn-sec.com/archives/3001338.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息