非影资讯
P非影 English
面向安全从业者的中英双语安全研究与漏洞情报精选。

Inveigh – What's New in Version 1.4

netspi.com | 博客 | #powershell | #spoofing | #ntlm-relay | #llmnr | #mdns | #inveigh | #nbns

摘要

Kevin Robertson 介绍 PowerShell LLMNR/mDNS/NBNS 欺骗工具 Inveigh 1.4 的主要更新：新增 ADIDNS 通配符攻击、改进 Invoke-InveighRelay 多目标中继与 BloodHound 集成，并强化检测规避选项，适合 Windows 后渗透场景。
发布时间
收录时间

原文 ↗

相关内容

博客 · netspi.com
Beyond LLMNR/NBNS Spoofing – Exploiting Active Directory-Integrated DNS
Kevin Robertson 提出比 LLMNR/NBNS 欺骗更优的中间人攻击思路：在已有低权限域访问的情况下，利用 Active Directory 集成 DNS（ADIDNS）添加通配符记录，可夺取 DNS 解析优先级，在整个域范围内劫持名称解析，作者开发的 Inveigh 已支持相关功能。
博客 · netspi.com
Identifying Rogue NBNS Spoofers
利用 Responder.py 或 Metasploit 模块进行 NBNS 欺骗是捕获/中继哈希的常用攻击手法，但可用修复手段有限。作者发布检测脚本：持续向不存在的主机名发起 NBNS 查询并监听应答，一旦出现响应即判定存在欺骗者，支持邮件与 syslog 告警。
研究 · projectblack.io
通过 GPO 禁用 LLMNR（连同 NBT-NS 和 MDNS）
通过 GPO 禁用 LLMNR、NBT-NS 与 MDNS，防止同网段攻击者利用名称解析回退机制捕获密码哈希；附可导入的 GPO 备份，并提醒禁用 MDNS 可能影响投屏、打印等设备发现，建议先小范围测试。
博客 · netspi.com
ADIDNS Revisited – WPAD, GQBL, and More
Kevin Robertson 深入探讨 ADIDNS 攻防细节：默认启用的 GQBL 会拦截 WPAD/ISATAP 查询，但作者发现通配符记录、DNAME 记录和 NS 记录均可绕过该限制，使攻击者通过 Active Directory 集成 DNS 劫持名称解析并实施中间人攻击。
博客 · netspi.com
Bypassing SQL Server Logon Trigger Restrictions
NetSPI 演示绕过 SQL Server 登录触发器限制的方法：通过连接字符串中冷门属性伪造 Workstation Name 与 Application Name，骗过基于主机名/应用名的白名单校验，文中给出 SSMS 与 PowerUpSQL 两类示例及加固建议。
博客 · netspi.com
WMI 武器化入门（二）
用 Get-CimClass（或 Get-WmiObject -list）枚举系统上 1500 多个 WMI 类，按关键字筛选后深入查看 Win32_Process 等类的属性与方法，为后续武器化挑选合适的攻击面。
返回