pretender

Votre compagnon MitM pour les attaques de relais, avec prise de contrôle DNS par DHCPv6
ainsi que l'usurpation mDNS, LLMNR et NetBIOS-NS

pretender est un outil développé par RedTeam Pentesting pour obtenir des positions d'homme-du-milieu via l'usurpation de résolution de noms locale et des attaques de prise de contrôle DNS par DHCPv6. pretender cible principalement les hôtes Windows, car il est destiné à être utilisé pour des attaques de relais, mais il peut être déployé sur Linux, Windows et toutes les autres plates-formes supportées par Go. Les requêtes de résolution de noms peuvent être répondues avec des adresses IP arbitraires dans les situations où l'outil de relais s'exécute sur un hôte différent de pretender. Il est conçu pour fonctionner avec des outils tels que Impacket's ntlmrelayx.py et krbrelayx qui gèrent les connexions entrantes pour les attaques de relais ou l'extraction de hachages.

Lisez notre article de blog pour plus d'informations sur la prise de contrôle DNS par DHCPv6, l'usurpation de résolution de noms locale et les attaques de relais.

Utilisation

Pour avoir une idée de la situation dans le réseau local, pretender peut être démarré en mode --dry où il se contente de journaliser les requêtes entrantes sans y répondre :

pretender -i eth0 --dry
pretender -i eth0 --dry --no-ra # sans annonces de routeur (RA)
pretender -i eth0 --dry --no-ra-dns # avec RA mais sans annoncer DNS dans les RA

Pour effectuer une usurpation de résolution de noms locale via mDNS, LLMNR et NetBIOS-NS ainsi qu'une prise de contrôle DNS par DHCPv6 avec annonces de routeur, exécutez simplement pretender ainsi :

pretender -i eth0

Vous pouvez désactiver certaines attaques avec --no-dhcp-dns (désactive DHCPv6, DNS et annonces de routeur), --no-lnr (désactive mDNS, LLMNR et NetBIOS-NS), --no-mdns, --no-llmnr, --no-netbios et --no-ra.

Si ntlmrelayx.py s'exécute sur un hôte différent (par exemple 10.0.0.10/fe80::5), lancez pretender ainsi :

pretender -i eth0 -4 "10.0.0.10" -6 "fe80::5"

Pretender peut être configuré pour ne répondre qu'aux requêtes pour certains domaines (ou à tous sauf certains) et il peut effectuer les attaques d'usurpation seulement pour certains hôtes (ou tous sauf certains). La référence aux hôtes par nom d'hôte repose sur la résolution de noms de l'hôte qui exécute pretender. Voir l'exemple suivant :

pretender -i eth0 --spoof "example.com" --dont-spoof-for "10.0.0.3,host1.corp,fe80::f" --ignore-nofqdn

Pour plus d'informations, exécutez pretender --help.

Conseils

• Les options --spoof/--dont-spoof/--spoof-for/--dont-spoof-for prennent en charge les wildcards. domain.fqdn effectue une correspondance littérale, tandis que .domain.fqdn correspondra à domain.fqdn et sub.domain.fqdn. De même, *domain.fqdn correspond à mydomain.fqdn. Utilisez *.domain.fqdn pour uniquement correspondre aux sous-domaines. Notez que les wildcards de sous-domaines (point en tête) et les wildcards arbitraires (*) ne peuvent pas être utilisés ensemble.
• Assurez-vous d'activer le support IPv6 dans ntlmrelayx.py avec l'option -6.
• Pretender prend en charge la configuration DNS sans état via les annonces de routeur sans DHCPv6 avec l'option --stateless-ra. Par défaut, le serveur DHCPv6 est toujours démarré mais peut être désactivé en utilisant --no-dhcp.

Construction et personnalisation

Pretender peut être construit comme suit :

go build

Pretender peut également être compilé avec des paramètres préconfigurés. Pour cela, les ldflags doivent être modifiés comme suit :

-ldflags '-X main.vendorInterface=eth1'

Par exemple, Pretender peut être construit pour Windows avec une interface par défaut spécifique, sans sortie colorée et avec une adresse IPv4 de relais configurée :

GOOS=windows go build -trimpath -ldflags '-X "main.vendorInterface=Ethernet 2" -X main.vendorNoColor=true -X main.vendorRelayIPv4=10.0.0.10'

Liste complète des options de personnalisation (voir defaults.go ou pretender --help pour des informations détaillées) :

vendorInterface
vendorRelayIPv4
vendorRelayIPv6
vendorSOAHostname
vendorSpoofResponseName
vendorNoDHCPv6DNSTakeover
vendorNoDHCPv6
vendorNoDNS
vendorNoMDNS
vendorNoNetBIOS
vendorNoLLMNR
vendorNoLocalNameResolution
vendorNoIPv6LNR
vendorNoRA
vendorNoRADNS
vendorSpoof
vendorDontSpoof
vendorSpoofFor
vendorDontSpoofFor
vendorSpoofTypes
vendorSpoofSRV
vendorIgnoreDHCPv6NoFQDN
vendorIgnoreNonMicrosoftDHCP
vendorDelegateIgnoredTo
vendorToggleNameResolutionSpoofing
vendorDontSendEmptyReplies
vendorDryMode
vendorDryWithDHCPMode
vendorStatelessRA
vendorTTL
vendorLeaseLifetime
vendorRARouterLifetime
vendorRAPeriod
vendorDNSTimeout
vendorStopAfter
vendorVerbose
vendorNoColor
vendorNoTimestamps
vendorLogFileName
vendorNoHostInfo
vendorHideIgnored
vendorRedirectStderr
vendorListInterfaces