网络协议攻击

问题：现代交换网络中的隐蔽攻击链难以应对

现代企业网络多采用交换架构，传统边界防护依赖IP地址和端口规则，但协议层攻击往往利用链路层或应用层协议的信任机制（如ARP、LLMNR），绕过这些防护形成中间人攻击（MitM）或凭证窃取链。例如，攻击者通过ARP欺骗插入流量后，结合NTLM中继可窃取用户凭证；这类攻击因协议交互的“合法性”，常被IDS/IPS漏检。单点攻击技术（如单独的DNS欺骗）难以形成完整攻击链，而协议攻击的细节（如DHCPv6接管的条件、STP操纵的时序）常被通用模型忽略，导致防御端难以识别全貌。

技能如何工作

核心能力覆盖10类协议攻击技术，重点解决“单点技术到攻击链”的串联问题。关键能力包括：

• 协议弱点定位：识别网络中启用的LLMNR/NBT-NS/mDNS服务、WPAD配置缺陷、DHCPv6服务器信任边界等；
• 攻击工具配置：如使用Responder进行LLMNR/NBT-NS投毒，通过mitm6配置DHCPv6接管；
• 链式攻击设计：将ARP欺骗与NTLM中继结合（通过ntlm-relay-coercion技能），或利用STP操纵创建二层环路以扩大流量捕获范围；
• 流量隐蔽性处理：针对IDS/IPS的检测规则，提供攻击载荷分片、时序调整等规避建议。

适用边界与注意点

• 仅适用于授权的安全测试或防御演练，禁止用于非法网络活动；
• 部分攻击需特定环境（如DHCPv6接管需目标网络启用IPv6，LLMNR投毒需Windows系统默认配置）；
• 依赖工具（如Responder、mitm6）需提前部署，不覆盖未启用相关协议的网络架构（如纯IPv4且禁用LLMNR的网络）。