一.LLMNR协议
1.LLMNR简介
链路本地多播名称解析（LLMNR）是一个基于域名系统（DNS）数据包格式的协议，使用此协议可以解析局域网中本地链路上的主机名称。它可以很好地支持IPv4和IPv6，是仅次于DNS解析的名称解析协议。
2.LLMNR解析过程
LLMNR解析前提是本地hosts和DNS解析失败时，会使用LLMNR解析。LLMNR解析过程如图1-1所示。
1）主机在本地NetBIOS缓存名称中进行查询。
2）如果缓存名称中没有查询到，则以此向配置的主备DNS服务器发送解析请求。
3）如果主备DNS服务器没有回复，则向当前子网域发送多播，获取对应的IP地址。
4)本地子网域的其他主机收到并检查多播包，如果没有响应则请求失败。
从以上工作过程可以明白LLMNR是以多播形式进行查询的，类似于ARP通过MAC寻找IP地址。这样就存在一个欺骗攻击问题。
绘图2
3.LLMNR欺骗攻击
假设用户访问一个域名xxx，如图1-2所示，在hosts文件和DNS解析失败，此时会通过LLMNR协议进行广播请求，攻击者利用该广播请求时间向请求用户回复响应IP地址，这时xxx映射的IP就是攻击者IP，当用户访问xxx域名就会解析到攻击IP，进而攻击者便可以拿到net-ntlm hash。
绘图2_backup_311867
4.LLMNR防御措施
1）点击开始——运行——输入命令——打开本地组策略管理器，如图1-3所示。
gpedit.msc
图1-3 打开本地组策略管理器
2）打开计算机配置——管理模版——网络——DNS客户端，如图1-4所示。
图1-4 打开配置DNS客户端
3）双击打开“关闭多播名称解析”，如图1-5所示。
图1-5 打开“关闭多播名称解析”
4）将关闭多播名称解析中的状态改为“已禁用”，如图1-6所示。
图1-6 将关闭多播名称解析中的状态改为“已禁用”
二.NETBIOS协议
1. NETBIOS简介
NetBIOS是Network Basic Input/Output System（网上基本输入输出系统）的缩写，它是一种接入服务网络的接口标准，主机系统通过WINS服务、广播及Lmhost文件等多种模式，把NetBIOS名解析成对应的IP地址，实现信息通讯。因其占用资源小、传输快的特点，广泛应用于局域网内部消息通信及资源的共享。
2.NETBIOS服务类型
NetBIOS支持面向连接(TCP)和无连接(UDP)通信。它提供三个分开的服务：命名（NetBIOS names）、会话（NetBIOS sessions）、数据报（NetBIOS datagrams）。NetBIOS names为其他两个服务的基础。
NetBIOS服务类型在TCP/IP上的基本架构如图1-7所示。
IMG_295
下面我们针对三种常见的NetBIOS服务类型进行详细说明，如表1-1所示。
表1-1 三种常见的NetBIOS报文类型
| 服务类型 | 端口 | 具体描述 |
|---|---|---|
| Net BIOS names（NetBIOS名称服务） | UDP 137 | 鉴别资源。程序、主机都有独特的NetBIOS名称 |
| Net BIOS datagrams（Net BIOS数据报） | UDP 138 | 无连接的将数据报发送到特定的地点、组、整个局域网。 |
| Net BIOS sessions（Net BIOS会话服务） | TCP 139 | 提供给面向连接，可靠的，完全双重的信息服务。 |
3. NETBIOS解析过程
NetBIOS 协议进行名称解析的过程如下。
1）首先主机先检查本地NetBIOS缓存。
2）如果缓存中没有请求的名称，但是配置类WINS服务器，则向WINS服务器发送请求。
3）如果没有配置WINS服务器或WINS服务器无响应时，则和LLMNR一样向当前子网域发送广播。
4）如果子网域其他主机无响应，则读取本地的lmhosts（C:\Windows\System32\drivers\etc\）文件。
NetBIOS协议是发送UDP广播包进行解析，如果不配置WINS服务器，则和LLMNR一样会有欺骗攻击问题。
4. NETBIOS防御措施
1）输入命令ncpa.cpl，打开网络连接，如图1-33所示。
图1-8 输入命令ncpa.cpl打开网络连接
2）通过“本地连接——属性—Internet协议版本4——属性——高级”来配置，如图1-9、图1-10、图1-11所示。
图1-9 打开网络连接属性
图1-10 配置TCP/IPV4
图1-11 配置IP地址
3）在WINS标签栏的NetBIOS设置中禁用NetBIOS，如图1-12所示。
图1-12 在WINS标签栏中的NetBIOS设置中禁用NetBIOS
三.WPAD协议
1.Windows WPAD 简介
WPAD全称Web Proxy Auto-Discovery Protocol，也就是WEB代理自动发现协议（这里的代理就是我们在渗透中常用BURP的时候修改的代理设置）。它的作用是让局域网浏览器自动发现内网中的代理服务器，并且自动设置成该代理进行连接企业内网或者互联网。若系统开启了WPAD，那么主机就会在当前连接的局域网中去寻找代理服务器，找到之后会在代理服务器中下载PAC（Proxy Auto-Config）的配置文件（其实我们在日常中经常能看见当我们使用SSR的时候就会看见PAC自动模式），这个PAC文件会定义用户在访问什么地址的时候，使用什么代理进行访问，举一个常见易懂的例子，有些公司会对访问谷歌浏览器有一定的需求，那么他们就会搭建一个代理服务器，里面的PAC文件就会配置当访问谷歌浏览器的时候web代理自动使用到那个代理服务器上，同时浏览器将下载并解析该文件，将相应的代理服务器设置到浏览器中。
2.WPAD实现方式
我们前面说过主机会在当前连接的局域网中自动寻找代理服务器，它的实现方式主要分为两种。
（1）DHCP
在DHCP服务器中，DHCP服务器的252选项是被当作查询或者注册使用的指针，我们可以在DHCP服务器中添加一个用于查找WPAD主机的252项，内容是部署在WPAD主机上的PAC文件的URL，当客户端Web浏览器要访问某个地址时，Web浏览器会向DHCP服务器发送DHCP INFORM数据包来查询PAC文件的位置，DHCP服务器收到请求以后会返回DHCP ACK数据包进行响应，其中包含了选项和配置列表，在这些返回选项中的252选项就是代理自动配置文件的位置，Web浏览器就可以执行下载PAC文件请求。如图1-1所示，这是以DHCP的方式获取PAC示意图。
IMG_310
目前大多数内网中已经不再使用DHCP服务器对客户端的WPAD进行配置，而是逐渐采用较为简单的DNS服务器方式。
（2）DNS
第二种是目前使用最广泛的方式，通过DNS方式实现WPAD的原理是：先由Web浏览器向DNS服务器发起WPAD+X查询，DNS服务器接收到查询请求后返回提供WPAD主机的IP地址，Web浏览器通过该IP的80端口下载wpad.dat（浏览器配置用文件）和wspad.dat（防火墙配置用文件）以实现自动配置。例如：用户的计算机网络名称为test.xx.example.com，浏览器将依次尝试下列URL，以期成功在客户端的域中找到一个代理配置文件。如图1-2所示。
IMG_311
3.PAC文件内容
PAC文件最主要的作用是可以控制浏览器如何处理使用HTTP/HTTPS的流量，其实在每个PAC文件中都会包含一个FindProxyForURL函数，用来定义Web浏览器是直接将流量发送到Internet，还是将流量发送到代理服务器的规则，以下是PAC文件的具体配置内容。
代码语言：bash
复制
function FindProxyForURL(url, host) { if (shExpMatch(host, "*.example.com")){return "DIRECT";}if (isInNet(host, "10.0.0.0", "255.255.248.0")){return "PROXY fastproxy.example.com:8080";}return "PROXY proxy.example.com:8080; DIRECT";
}1）shExpMatch将尝试将主机名或URL与指定的shell表达式匹配，如果匹配则返回true。
2）isInNet 此函数判断主机名的IP地址，如果在指定的子网内则返回true。如果传递了主机名，该函数会将主机名解析为IP地址。
代码语言：bash
复制
if (shExpMatch(host, "*.example.com")){return "DIRECT";}3）如果在host中匹配到了.example.com，就会返回true，DIRECT的意思是直连，那么这句话就是：如果访问了.example.com的URL那么就会直接连接，不走代理。
代码语言：bash
复制
if (isInNet(host, "10.0.0.0", "255.255.248.0")){return "PROXY fastproxy.example.com:8080";}4）如果host在指定的IP范围内，那么就会通过代理fastproxy.example.com:8080进行访问。
作者：一只特立独行的兔先生
原文：Windows安全认证机制之Windows常见协议-腾讯云开发者社区-腾讯云
