网络层投毒与欺骗攻击

通过污染网络层协议（ARP、DHCP、DNS、WPAD 等）实现中间人定位或强制认证触发，是 NTLM relay 攻击最常用的前置步骤。

触发条件

• 内网需要通过网络投毒获取凭证或实现中间人
• 需要作为 NTLM relay 的前置步骤进行投毒
• 需要 ARP/DHCP/DHCPv6/DNS/WPAD/WSUS 投毒

前置要求

• 同网段物理接入（大部分技术要求同广播域）
• 域用户凭证（ADIDNS 注入需要）
• 工具: bettercap, Responder, mitm6, dnstool.py, Inveigh, pywsus, dnschef

技术选择决策树