LLMNR 本地名称解析
5355 是 LLMNR（Link-Local Multicast Name Resolution，RFC 4795）使用的端口，Windows Vista 之后默认启用。当 DNS 查询失败时，系统会向同网段的组播地址发出主机名查询，等待链路内目标主机自行应答。它是局域网主机名解析的兜底机制，只在本地链路生效，不跨网段。
基本信息
| 服务 | LLMNR（RFC 4795） |
|---|---|
| 协议 | UDP 组播 224.0.0.252 与 ff02::1:3 |
| 用途 | Windows 局域网主机名解析 |
| 生效范围 | 链路本地，不跨网段 |
| 安全等级 | 无认证，存在投毒风险 |
典型使用场景
- DNS 不可用时内网主机名解析仍能工作
- 排查内网机器互相访问慢，确认是否在反复等待组播应答
- 安全基线核查时确认 LLMNR 是否已关闭
- 事件响应中确认内网应答投毒工具是否借它窃取凭据
- 与 NetBIOS 名称解析一起评估遗留依赖
关闭与观察
关闭与观察
# 组策略路径（推荐）
# 计算机配置 > 管理模板 > 网络 > DNS 客户端 > 关闭多播名称解析
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient' -Name EnableMulticast -ErrorAction SilentlyContinue
# 观察组播流量（Linux 侧示意）
sudo tcpdump -ni eth0 'udp port 5355' -c 20名称解析兜底机制
| 机制 | 端口 | 说明 |
|---|---|---|
| LLMNR | UDP 5355 组播 | 主机名兜底解析，无任何认证 |
| NetBIOS 名称服务 | UDP 137 广播 | 传统 NetBIOS 名称解析 |
| mDNS | UDP 5353 组播 | 零配置设备发现 |
| DNS | UDP/TCP 53 | 正常解析路径，具备授权与层级管理 |
LLMNR 没有认证机制，攻击者可以用应答工具冒充目标主机，诱使受害机提交认证信息，进而截获可被离线破解的口令哈希。这是内网渗透里非常经典的起手式，也是安全基线普遍要求关闭它的原因。
关闭建议：禁用 LLMNR 与 NetBIOS 名称服务前，先确认内网 DNS 解析已经覆盖原有需求，否则会出现只能靠 IP 访问主机的情况，被误判成新的网络故障。
排查价值：内网抓到大量组播名称查询却几乎没有正常应答，往往说明有人在做响应伪造。把这类流量的来源与频率记录下来，对后续的事件响应很有价值。