Responder로 NTLM 해시 수집이 가능한가요?

Responder는 LLMNR/NBT-NS/mDNS 포이즈닝 도구로, 윈도우 네트워크에서 인증 해시를 수집합니다.

원리:

1. 윈도우 PC가 네트워크 리소스 접근 시 DNS 실패하면 LLMNR/NBT-NS로 브로드캐스트
2. Responder가 "나야"라고 응답
3. 윈도우 PC가 NTLM 인증 정보를 전송
4. Responder가 NTLMv2 해시 캡처

# 실행
sudo responder -I eth0

# 캡처된 해시를 hashcat으로 크래킹
hashcat -m 5600 hash.txt rockyou.txt

방어:

• LLMNR 비활성화 (GPO)
• NBT-NS 비활성화
• 네트워크 서명 강제
• 강력한 패스워드 사용