161,162,10161,10162/udp - Pentesting SNMP
Last updated
Last updated
Aprenda e pratique Hacking AWS:
HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: 
HackTricks Training GCP Red Team Expert (GRTE)
Se você está interessado em carreira de hacking e hackear o inhackeável - estamos contratando! (fluência em polonês escrita e falada é necessária).
SNMP - Simple Network Management Protocol é um protocolo usado para monitorar diferentes dispositivos na rede (como roteadores, switches, impressoras, IoTs...).
O SNMP também usa a porta 162/UDP para traps. Estes são pacotes de dados enviados do servidor SNMP para o cliente sem serem explicitamente solicitados.
Para garantir que o acesso SNMP funcione entre fabricantes e com diferentes combinações cliente-servidor, a Management Information Base (MIB) foi criada. MIB é um formato independente para armazenar informações de dispositivos. Um MIB é um arquivo de texto no qual todos os objetos SNMP consultáveis de um dispositivo estão listados em uma hierarquia de árvore padronizada. Ele contém pelo menos um Object Identifier (OID), que, além do endereço único necessário e um nome, também fornece informações sobre o tipo, direitos de acesso e uma descrição do respectivo objeto.
Os arquivos MIB são escritos no formato de texto ASCII baseado em Abstract Syntax Notation One (ASN.1). Os MIBs não contêm dados, mas explicam onde encontrar quais informações e como elas se parecem, quais valores retornam para o OID específico ou qual tipo de dado é utilizado.
Object Identifiers (OIDs) desempenham um papel crucial. Esses identificadores únicos são projetados para gerenciar objetos dentro de uma Management Information Base (MIB).
Os níveis mais altos dos IDs de objetos MIB, ou OIDs, são alocados a diversas organizações de padronização. É dentro desses níveis superiores que a estrutura para práticas e padrões de gerenciamento global é estabelecida.
Além disso, os fornecedores têm a liberdade de estabelecer ramificações privadas. Dentro dessas ramificações, eles têm a autonomia para incluir objetos gerenciados pertinentes às suas próprias linhas de produtos. Este sistema garante que haja um método estruturado e organizado para identificar e gerenciar uma ampla gama de objetos entre diferentes fornecedores e padrões.
Você pode navegar por uma árvore OID na web aqui: http://www.oid-info.com/cgi-bin/display?tree=#focus ou ver o que um OID significa (como 1.3.6.1.2.1.1) acessando http://oid-info.com/get/1.3.6.1.2.1.1.
Existem alguns OIDs bem conhecidos como os dentro de 1.3.6.1.2.1 que referenciam variáveis do Simple Network Management Protocol (SNMP) definidas no MIB-2. E a partir dos OIDs pendentes deste você pode obter alguns dados interessantes do host (dados do sistema, dados da rede, dados de processos...)
1 . 3 . 6 . 1 . 4 . 1 . 1452 . 1 . 2 . 5 . 1 . 3. 21 . 1 . 4 . 7
Aqui está uma análise deste endereço.
1 – isso é chamado de ISO e estabelece que este é um OID. É por isso que todos os OIDs começam com “1”
3 – isso é chamado de ORG e é usado para especificar a organização que construiu o dispositivo.
6 – este é o dod ou o Departamento de Defesa, que é a organização que estabeleceu a Internet primeiro.
1 – este é o valor da internet para denotar que todas as comunicações ocorrerão através da Internet.
4 – este valor determina que este dispositivo é feito por uma organização privada e não por uma governamental.
1 – este valor denota que o dispositivo é feito por uma empresa ou entidade comercial.
Esses primeiros seis valores tendem a ser os mesmos para todos os dispositivos e fornecem as informações básicas sobre eles. Esta sequência de números será a mesma para todos os OIDs, exceto quando o dispositivo é feito pelo governo.
Passando para o próximo conjunto de números.
1452 – dá o nome da organização que fabricou este dispositivo.
1 – explica o tipo de dispositivo. Neste caso, é um despertador.
2 – determina que este dispositivo é uma unidade terminal remota.
O restante dos valores fornece informações específicas sobre o dispositivo.
5 – denota um ponto de alarme discreto.
1 – ponto específico no dispositivo
3 – porta
21 – endereço da porta
1 – exibição para a porta
4 – número do ponto
7 – estado do ponto
Existem 2 versões importantes do SNMP:
SNMPv1: Principal, ainda é a mais frequente, a autenticação é baseada em uma string (community string) que viaja em texto simples (todas as informações viajam em texto simples). Versão 2 e 2c também enviam o tráfego em texto simples e usam uma community string como autenticação.
SNMPv3: Usa uma forma de autenticação melhor e as informações viajam criptografadas (um ataque de dicionário poderia ser realizado, mas seria muito mais difícil encontrar as credenciais corretas do que no SNMPv1 e v2).
Como mencionado anteriormente, para acessar as informações salvas no MIB você precisa conhecer a community string nas versões 1 e 2/2c e as credenciais na versão 3. Existem 2 tipos de community strings:
public principalmente funções somente leitura
private Leitura/Gravação em geral
Note que a capacidade de gravação de um OID depende da community string utilizada, então mesmo que você descubra que "public" está sendo usado, você pode ser capaz de gravar alguns valores. Além disso, podem existir objetos que são sempre "Somente Leitura".
Se você tentar gravar um objeto, um erro noSuchName ou readOnly é recebido**.**
Nas versões 1 e 2/2c, se você usar uma bad community string, o servidor não responderá. Portanto, se ele responder, uma community string válida foi usada.
O agente SNMP recebe solicitações na porta UDP 161.
O gerente recebe notificações (Traps e InformRequests) na porta 162.
Quando usado com Transport Layer Security ou Datagram Transport Layer Security, as solicitações são recebidas na porta 10161 e as notificações são enviadas para a porta 10162.
Para adivinhar a community string você poderia realizar um ataque de dicionário. Confira aqui diferentes maneiras de realizar um ataque de força bruta contra SNMP. Uma community string frequentemente usada é public.
É recomendado instalar o seguinte para ver o que significa cada OID coletado do dispositivo:
Se você souber uma string de comunidade válida, pode acessar os dados usando SNMPWalk ou SNMP-Check:
Graças às consultas estendidas (download-mibs), é possível enumerar ainda mais sobre o sistema com o seguinte comando :
SNMP tem muitas informações sobre o host e coisas que você pode achar interessantes são: Interfaces de rede (endereço IPv4 e IPv6), Nomes de usuário, Tempo de atividade, Versão do servidor/SO e processos
em execução (pode conter senhas)....
No âmbito da gestão de rede, certas configurações e parâmetros são fundamentais para garantir monitoramento e controle abrangentes.
Duas configurações principais permitem o acesso à árvore OID completa, que é um componente crucial na gestão de rede:
rwuser noauth é configurado para permitir acesso total à árvore OID sem a necessidade de autenticação. Esta configuração é simples e permite acesso irrestrito.
Para um controle mais específico, o acesso pode ser concedido usando:
rwcommunity para endereços IPv4, e
rwcommunity6 para endereços IPv6.
Ambos os comandos requerem uma string de comunidade e o endereço IP relevante, oferecendo acesso total independentemente da origem da solicitação.
Uma série de valores de Base de Informação de Gerenciamento (MIB) são utilizados para monitorar vários aspectos de um sistema Windows através do SNMP:
Processos do Sistema: Acessado via 1.3.6.1.2.1.25.1.6.0, este parâmetro permite o monitoramento de processos ativos dentro do sistema.
Programas em Execução: O valor 1.3.6.1.2.1.25.4.2.1.2 é designado para rastrear programas atualmente em execução.
Caminho dos Processos: Para determinar de onde um processo está sendo executado, o valor MIB 1.3.6.1.2.1.25.4.2.1.4 é utilizado.
Unidades de Armazenamento: O monitoramento de unidades de armazenamento é facilitado por 1.3.6.1.2.1.25.2.3.1.4.
Nome do Software: Para identificar o software instalado em um sistema, 1.3.6.1.2.1.25.6.3.1.2 é empregado.
Contas de Usuário: O valor 1.3.6.1.4.1.77.1.2.25 permite o rastreamento de contas de usuário.
Portas Locais TCP: Finalmente, 1.3.6.1.2.1.6.13.1.3 é designado para monitorar portas locais TCP, fornecendo insights sobre conexões de rede ativas.
Dê uma olhada nesta página se você estiver usando equipamentos Cisco:
Cisco SNMPSe você tiver a string que permite que você escreva valores dentro do serviço SNMP, pode ser capaz de abusar disso para executar comandos:
SNMP RCEBraa é um scanner SNMP em massa. O uso pretendido de tal ferramenta é, claro, fazer consultas SNMP – mas ao contrário do snmpwalk do net-snmp, ele é capaz de consultar dezenas ou centenas de hosts simultaneamente, e em um único processo. Assim, consome muito poucos recursos do sistema e faz a varredura MUITO rápido.
Braa implementa sua própria pilha SNMP, portanto, não precisa de nenhuma biblioteca SNMP como net-snmp.
Sintaxe: braa [String-de-comunidade]@[IP do servidor SNMP]:[id iso]
Isso pode extrair muitos MB de informações que você não pode processar manualmente.
Então, vamos procurar as informações mais interessantes (de https://blog.rapid7.com/2016/05/05/snmp-data-harvesting-during-penetration-testing/):
O processo começa com a extração de sysDesc MIB data (1.3.6.1.2.1.1.1.0) de cada arquivo para identificar os dispositivos. Isso é realizado através do uso de um grep command:
Um passo crucial envolve identificar a string de comunidade privada usada por organizações, particularmente em roteadores Cisco IOS. Essa string permite a extração de configurações em execução dos roteadores. A identificação geralmente se baseia na análise de dados de SNMP Trap em busca da palavra "trap" com um comando grep:
Logs armazenados nas tabelas MIB são examinados em busca de tentativas de login falhadas, que podem acidentalmente incluir senhas inseridas como nomes de usuário. Palavras-chave como fail, failed ou login são pesquisadas para encontrar dados valiosos:
Finalmente, para extrair endereços de email dos dados, um comando grep com uma expressão regular é usado, focando em padrões que correspondem a formatos de email:
Você pode usar NetScanTools para modificar valores. Você precisará conhecer a string privada para fazer isso.
Se houver uma ACL que permite apenas alguns IPs consultar o serviço SNMP, você pode falsificar um desses endereços dentro do pacote UDP e capturar o tráfego.
snmp.conf
snmpd.conf
snmp-config.xml
Se você está interessado em uma carreira em hacking e hackear o inhackeável - estamos contratando! (fluência em polonês escrita e falada é necessária).
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
