Responder 类工具的禁用原则是什么
Responder 一类工具利用 LLMNR、NBT-NS 与 mDNS 的名称解析请求，抢先应答并伪造认证服务（如 SMB、HTTP），把同一网段内其他主机主动送出的认证材料捕获下来。它影响的是整段网络的通信，属于高影响中间人技术，常规评估不使用；防御侧改用被动流量核查与配置加固验证来回答同样的问题。
基本信息
| 技术本质 | 名称解析投毒 + 伪造服务捕获认证材料 |
|---|---|
| 影响范围 | 同一广播域内的全部主机，不止单个目标 |
| 评估立场 | 常规评估禁用；特殊合同单独审批并限定网段 |
| 替代做法 | 被动流量核查 + 配置加固验证 |
| 对应加固 | 关闭 LLMNR/NBT-NS、启用 SMB 与 LDAP 签名 |
替代验证方式
- 被动核查：在授权镜像口上观察是否有 LLMNR/NBT-NS 查询流量
- 配置抽查：在终端与交换机侧确认多播名称解析已关闭
- 签名核查：确认 SMB 签名与 LDAP 签名的开启状态
- 加固复测：策略下发后复核注册表与组策略实际生效
- 风险说明：把投毒原理与影响写进报告，帮助客户理解加固必要性
防御核查（PowerShell）
防御核查（PowerShell）
# 检查 LLMNR 多播是否被策略关闭（0 表示启用多播解析）
Get-ItemProperty "HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient" -Name EnableMulticast
# 检查各网卡的 NetBIOS 设置：1 启用 / 2 禁用 / 0 跟随 DHCP
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces" |
ForEach-Object { Get-ItemProperty $_.PSPath } | Select-Object NetbiosOptions
# 检查 SMB 签名：RequireSecuritySignature 为 True 表示强制
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature投毒路径与加固对照
| 路径 | 原理 | 加固动作 |
|---|---|---|
| LLMNR | 解析失败时广播查询，被抢先应答 | 组策略关闭多播名称解析 |
| NBT-NS | 旧式 NetBIOS 名称解析同样可被应答 | 网卡设置 NetBIOS 为禁用 |
| mDNS | 部分系统的多播解析可被仿冒 | 按终端类型确认解析策略 |
| SMB/LDAP | 认证流程未签名时可被中继 | 启用 SMB 与 LDAP 签名 |
该类流量会干扰整段网络且可能违法：任何非授权使用都不允许，包括以演示为由在办公网运行投毒组件。
如果确实捕获到凭据材料（例如客户自行做过的测试遗留），按合同流程处置：单独加密移交、登记清单、不得留存副本，也不得用于尝试登录。