rushyo/vindicatetoolLLMNR/NBNS/mDNS スプーフィング検出ツールキット
-brightgreen){kind=icon}
ネットワーク管理者向けLLMNR/NBNS/mDNSスプーフィング検出ツールキット
Vindicateは、名前サービススプーフィングを検出するツールです。これは、ITネットワーク攻撃者がユーザーから認証情報（例：Windows Active Directoryパスワード）を盗むためによく使用されます。誤検出を避けながら、Responder、Inveigh、NBNSpoof、MetasploitのLLMNR、NBNS、mDNSスプーファーなどのハッキングツールの使用を検出するように設計されています。これにより、Blue Teamはネットワーク上の攻撃者を迅速に検出し隔離できます。Windowsイベントログを活用してActive Directoryネットワークに迅速に統合したり、出力を他のシステムのログにパイプしたりできます。
スプーフィング攻撃とVindicateの動作を説明する図がwikiにあります。
.NET Framework 4.5.2 が必要です。
要約 - 攻撃者はあなたのネットワーク上であらゆる種類の認証情報（Active Directoryの認証情報から個人のメールアカウント、データベースのパスワードまで）をあなたの目の前で盗んでいる可能性があり、あなたはその発生にまったく気づいていないかもしれません。
VindicateはDanny 'Rushyo' Moulesの著作権であり、無保証でGPLv3ライセンスの下で提供されます。LICENSEを参照してください。
VindicateToolをダウンロード。
管理者権限のないコマンドプロンプトまたはPowerShellプロンプトを開き、ReleaseBinariesサブフォルダーで以下を入力します：
./VindicateCLI.exe
VindicateはLLMNR/NBNS/mDNSスプーフィングを検索し、結果を報告します。
何も起こらない場合は、-vフラグを使用してVindicateの動作に関する詳細な出力を取得してみてください。
スプーフィングが発生している場合、次のような表示がされることがあります：
Received mDNS response from 192.168.1.24 claiming 192.168.1.24
Spoofing confidence level adjusted to Medium
Received LLMNR response from 192.168.1.24 claiming 192.168.1.24
Received NBNS response from 192.168.1.24 claiming 192.168.1.24
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Spoofing confidence level adjusted to Certain
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24
これは進行中の攻撃を示しています（この場合、デフォルト設定でResponderが実行中）。
ESCキーでアプリケーションを閉じます。
VindicateCLIで-vを使用すると、より詳細な出力が得られます。
Vindicateは自動的にIPアドレスを検出しようとします。複数のネットワークインターフェースがある場合、誤ったネットワークのアドレスが設定される可能性があります。その場合は、-aを使用して使用したいIPアドレスを入力してください。
管理者権限のPowerShellプロンプトを開き、以下を入力します：
New-EventLog -Source "VindicateCLI" -LogName "Vindicate"
CLIアプリを-eオプションで実行してイベントログを有効にします。サービスは自動的にWindowsイベントログ（またはMono相当）を使用します。
イベントログはApplications and Services Log\Vindicateに保存されます。
管理者権限のPowerShellプロンプトから実行します（FULL\PATH\TO\ と ARGSHERE は適宜変更）：
New-EventLog -Source "VindicateService" -LogName "Vindicate"
sc.exe create "VindicateService" DisplayName="Vindicate" start=auto binPath="FULL\PATH\TO\ReleaseBinaries\VindicateService.exe ARGSHERE" obj="NT Authority\NetworkService"
sc.exe start "VindicateService"
サービスはCLIアプリがサポートするすべてのフラグをサポートしますが、-eは除きます（イベントログは常に有効です）。ローカルファイアウォールの更新を忘れないでください！
ビルドには.NET Framework 4.5.2とVisual Studio 2015以降が必要です。プリコンパイル済みバイナリはReleaseBinariesの下で利用可能です。
受信:
送信:
*エフェメラルポート。指定された値はWindows Vista以降を前提としています。
完全なリストはwikiにあります。
-hを使用してヘルプを表示します。-u、-p、-dフラグを確認してください。