139,445 - Pentesting SMB
Port 139
Das Network Basic Input Output System** (NetBIOS)** ist ein Softwareprotokoll, das entwickelt wurde, um Anwendungen, PCs und Desktops innerhalb eines lokalen Netzwerks (LAN) zu ermöglichen, mit Netzwerkhardware zu interagieren und die Übertragung von Daten im Netzwerk zu erleichtern. Die Identifizierung und Lokalisierung von Softwareanwendungen, die in einem NetBIOS-Netzwerk betrieben werden, erfolgen über ihre NetBIOS-Namen, die bis zu 16 Zeichen lang sein können und oft vom Computernamen abweichen. Eine NetBIOS-Sitzung zwischen zwei Anwendungen wird initiiert, wenn eine Anwendung (als Client fungierend) einen Befehl zum "Aufrufen" einer anderen Anwendung (als Server fungierend) unter Verwendung von TCP-Port 139 ausgibt.
Port 445
Technisch gesehen wird Port 139 als 'NBT über IP' bezeichnet, während Port 445 als 'SMB über IP' identifiziert wird. Das Akronym SMB steht für 'Server Message Blocks', das auch modern als das Common Internet File System (CIFS) bekannt ist. Als Anwendungs-Layer-Netzwerkprotokoll wird SMB/CIFS hauptsächlich genutzt, um den gemeinsamen Zugriff auf Dateien, Drucker, serielle Anschlüsse zu ermöglichen und verschiedene Formen der Kommunikation zwischen Knoten in einem Netzwerk zu erleichtern.
Zum Beispiel wird im Zusammenhang mit Windows hervorgehoben, dass SMB direkt über TCP/IP betrieben werden kann, was die Notwendigkeit von NetBIOS über TCP/IP durch die Nutzung von Port 445 beseitigt. Andererseits wird auf verschiedenen Systemen die Verwendung von Port 139 beobachtet, was darauf hinweist, dass SMB in Verbindung mit NetBIOS über TCP/IP ausgeführt wird.
SMB
Das Server Message Block (SMB)-Protokoll, das in einem Client-Server-Modell arbeitet, ist darauf ausgelegt, den Zugriff auf Dateien, Verzeichnisse und andere Netzwerkressourcen wie Drucker und Router zu regeln. Hauptsächlich innerhalb der Windows-Betriebssystemreihe genutzt, gewährleistet SMB Abwärtskompatibilität, sodass Geräte mit neueren Versionen des Microsoft-Betriebssystems nahtlos mit solchen interagieren können, die ältere Versionen ausführen. Darüber hinaus bietet das Samba-Projekt eine kostenlose Softwarelösung, die die Implementierung von SMB auf Linux- und Unix-Systemen ermöglicht und so die plattformübergreifende Kommunikation durch SMB erleichtert.
Shares, die beliebige Teile des lokalen Dateisystems darstellen, können von einem SMB-Server bereitgestellt werden, wodurch die Hierarchie für einen Client teilweise unabhängig von der tatsächlichen Struktur des Servers sichtbar wird. Die Zugriffssteuerungslisten (ACLs), die Zugriffsrechte definieren, ermöglichen eine fein abgestufte Kontrolle über Benutzerberechtigungen, einschließlich Attribute wie ausführen
, lesen
und voller Zugriff
. Diese Berechtigungen können einzelnen Benutzern oder Gruppen basierend auf den Shares zugewiesen werden und unterscheiden sich von den lokalen Berechtigungen, die auf dem Server festgelegt sind.
IPC$ Share
Der Zugriff auf den IPC$-Share kann über eine anonyme Nullsession erlangt werden, was die Interaktion mit über benannte Pipes freigegebenen Diensten ermöglicht. Das Dienstprogramm enum4linux
ist für diesen Zweck nützlich. Wenn es ordnungsgemäß verwendet wird, ermöglicht es den Erwerb von:
Informationen zum Betriebssystem
Details zur übergeordneten Domäne
Eine Zusammenstellung von lokalen Benutzern und Gruppen
Informationen zu verfügbaren SMB-Shares
Die effektive Systemsicherheitsrichtlinie
Diese Funktionalität ist entscheidend für Netzwerkadministratoren und Sicherheitsfachleute, um die Sicherheitslage der SMB (Server Message Block)-Dienste in einem Netzwerk zu bewerten. enum4linux
bietet einen umfassenden Überblick über die SMB-Umgebung des Zielsystems, was entscheidend ist, um potenzielle Schwachstellen zu identifizieren und sicherzustellen, dass die SMB-Dienste ordnungsgemäß gesichert sind.
Die obige Befehl ist ein Beispiel dafür, wie enum4linux
verwendet werden könnte, um eine vollständige Auflistung gegen ein Ziel durchzuführen, das durch target_ip
angegeben ist.
Was ist NTLM
Wenn Sie nicht wissen, was NTLM ist, oder wenn Sie wissen möchten, wie es funktioniert und wie Sie es missbrauchen können, finden Sie diese Seite über NTLM sehr interessant, auf der erklärt wird, wie dieses Protokoll funktioniert und wie Sie es ausnutzen können:
pageNTLMServer Enumeration
Scannen eines Netzwerks zur Suche nach Hosts:
SMB-Server-Version
Um nach möglichen Exploits für die SMB-Version zu suchen, ist es wichtig zu wissen, welche Version verwendet wird. Wenn diese Information in anderen verwendeten Tools nicht angezeigt wird, können Sie:
Das MSF-Hilfsmodul _auxiliary/scanner/smb/smb_version verwenden
Oder dieses Skript:
Suche nach Exploits
Mögliche Anmeldedaten
Benutzername(n) | Häufige Passwörter |
(leer) | (leer) |
Gast | (leer) |
Administrator, admin | (leer), Passwort, Administrator, admin |
arcserve | arcserve, Backup |
tivoli, tmersrvd | tivoli, tmersrvd, admin |
backupexec, backup | backupexec, backup, arcada |
test, lab, demo | Passwort, test, lab, demo |
Brute Force
SMB Umgebungsinformationen
Informationen erhalten
Benutzer, Gruppen & Angemeldete Benutzer auflisten
Diese Informationen sollten bereits von enum4linux und enum4linux-ng gesammelt worden sein.
Lokale Benutzer auflisten
Einzelformat
Metasploit - Lokale Benutzer auflisten
Aufzählung von LSARPC und SAMR rpcclient
pagerpcclient enumerationGUI-Verbindung von Linux
Im Terminal:
xdg-open smb://cascade.htb/
Im Dateibrowserfenster (Nautilus, Thunar, usw.)
smb://friendzone.htb/general/
Aufzählung freigegebener Ordner
Liste freigegebener Ordner
Es wird immer empfohlen zu prüfen, ob Sie auf etwas zugreifen können. Wenn Sie keine Anmeldeinformationen haben, versuchen Sie es mit nullen Anmeldeinformationen/gast Benutzer.
Verbinden/Auflisten eines freigegebenen Ordners
Manuell Windows-Freigaben auflisten und eine Verbindung zu ihnen herstellen
Es ist möglich, dass Sie eingeschränkt sind, um Freigaben des Hostcomputers anzuzeigen, und wenn Sie versuchen, sie aufzulisten, scheint es, als gäbe es keine Freigaben, zu denen Sie eine Verbindung herstellen können. Daher könnte es sich lohnen, einen Versuch zu unternehmen, um manuell eine Verbindung zu einer Freigabe herzustellen. Um die Freigaben manuell aufzulisten, sollten Sie nach Antworten wie NT_STATUS_ACCESS_DENIED und NT_STATUS_BAD_NETWORK_NAME suchen, wenn Sie eine gültige Sitzung verwenden (z. B. eine Nullsitzung oder gültige Anmeldeinformationen). Diese können darauf hinweisen, ob die Freigabe existiert und Sie keinen Zugriff darauf haben oder ob die Freigabe überhaupt nicht existiert.
Gängige Freigabenamen für Windows-Ziele sind
C$
D$
ADMIN$
IPC$
PRINT$
FAX$
SYSVOL
NETLOGON
(Gängige Freigabenamen aus Network Security Assessment 3. Auflage)
Sie können versuchen, eine Verbindung zu ihnen herzustellen, indem Sie den folgenden Befehl verwenden:
für dieses Skript (unter Verwendung einer Nullsession)
Beispiele
Freigaben von Windows / ohne Tools von Drittanbietern auflisten
PowerShell
CMD-Konsole
MMC Snap-in (grafisch)
explorer.exe (grafisch), geben Sie \\<ip>\
ein, um die verfügbaren nicht versteckten Freigaben zu sehen.
Ein freigegebenes Verzeichnis einbinden
Dateien herunterladen
Lesen Sie die vorherigen Abschnitte, um zu erfahren, wie Sie sich mit Anmeldeinformationen/Pass-the-Hash verbinden können.
Befehle:
mask: gibt die Maske an, die zum Filtern der Dateien im Verzeichnis verwendet wird (z. B. "" für alle Dateien)
recurse: schaltet die Rekursion ein (Standard: aus)
prompt: schaltet die Aufforderung zur Eingabe von Dateinamen aus (Standard: an)
mget: kopiert alle Dateien, die zur Maske passen, vom Host auf den Client-Rechner
(Informationen aus der Manpage von smbclient)
Suche nach freigegebenen Ordnern im Domänenbereich
Snaffler****
CrackMapExec Spider.
-M spider_plus [--share <share_name>]
--pattern txt
Besonders interessant sind die Dateien namens Registry.xml
, da sie Passwörter für Benutzer enthalten können, die über die Gruppenrichtlinie mit Autologon konfiguriert sind. Oder web.config
-Dateien, da sie Anmeldeinformationen enthalten.
Der SYSVOL-Share ist von allen authentifizierten Benutzern in der Domäne lesbar. Dort können viele verschiedene Batch-, VBScript- und PowerShell-Skripte zu finden sein. Sie sollten die Skripte darin überprüfen, da Sie möglicherweise sensible Informationen wie Passwörter finden könnten.
Registrierung lesen
Möglicherweise können Sie die Registrierung mithilfe einiger gefundener Anmeldeinformationen lesen. Mit Impacket reg.py
können Sie es versuchen:
Post Exploitation
Die Standardkonfiguration eines Samba-Servers befindet sich normalerweise in /etc/samba/smb.conf
und kann einige gefährliche Konfigurationen enthalten:
Einstellung | Beschreibung |
| Ermöglicht das Auflisten verfügbarer Freigaben in der aktuellen Freigabe? |
| Verbietet das Erstellen und Ändern von Dateien? |
| Ermöglicht Benutzern das Erstellen und Ändern von Dateien? |
| Ermöglicht das Verbinden mit dem Dienst ohne Verwendung eines Passworts? |
| Berücksichtigt Berechtigungen, die bestimmten SIDs zugewiesen sind? |
| Welche Berechtigungen müssen den neu erstellten Dateien zugewiesen werden? |
| Welche Berechtigungen müssen den neu erstellten Verzeichnissen zugewiesen werden? |
| Welches Skript muss bei der Anmeldung des Benutzers ausgeführt werden? |
| Welches Skript soll ausgeführt werden, wenn das Skript geschlossen wird? |
| Wo soll die Ausgabe des magischen Skripts gespeichert werden? |
Der Befehl smbstatus
liefert Informationen über den Server und darüber, wer verbunden ist.
Authentifizierung mit Kerberos
Sie können sich mit den Tools smbclient und rpcclient an Kerberos authentifizieren:
Befehle ausführen
crackmapexec
crackmapexec kann Befehle unter Ausnutzung von mmcexec, smbexec, atexec, wmiexec ausführen, wobei wmiexec die Standardmethode ist. Sie können angeben, welche Option Sie mit dem Parameter --exec-method
bevorzugen möchten:
Beide Optionen werden einen neuen Dienst erstellen (unter Verwendung von \pipe\svcctl über SMB) auf der Opfermaschine und ihn verwenden, um etwas auszuführen (psexec wird eine ausführbare Datei auf den ADMIN$-Freigabe hochladen und smbexec wird auf cmd.exe/powershell.exe verweisen und im Argument das Payload --file-less technique--- einfügen). Weitere Informationen zu psexec und smbexec. In kali befindet es sich unter /usr/share/doc/python3-impacket/examples/
Mit dem Parameter -k
können Sie sich gegen Kerberos anstatt gegen NTLM authentifizieren.
wmiexec/dcomexec
Führen Sie stealthily eine Befehlsshell aus, ohne die Festplatte zu berühren oder einen neuen Dienst über DCOM über Port 135 auszuführen. In Kali befindet es sich unter /usr/share/doc/python3-impacket/examples/
Durch die Verwendung des Parameters -k
können Sie sich gegen Kerberos anstatt gegen NTLM authentifizieren.
Führen Sie Befehle über den Taskplaner aus (unter Verwendung von \pipe\atsvc über SMB). In kali befindet es sich unter /usr/share/doc/python3-impacket/examples/
Impacket Referenz
https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/
Benutzeranmeldeinformationen brute force
Dies wird nicht empfohlen, da ein Konto gesperrt werden könnte, wenn Sie die maximal zulässigen Versuche überschreiten
SMB Relay Angriff
Dieser Angriff verwendet das Responder-Toolkit, um SMB-Authentifizierungssitzungen in einem internen Netzwerk zu erfassen und sie an eine Zielmaschine zu übermitteln. Wenn die Authentifizierungssitzung erfolgreich ist, wird automatisch eine System-Shell geöffnet. Weitere Informationen zu diesem Angriff hier.
SMB-Trap
Die Windows-Bibliothek URLMon.dll versucht automatisch, sich beim Host zu authentifizieren, wenn eine Seite versucht, auf einige Inhalte über SMB zuzugreifen, z. B.: img src="\\10.10.10.10\path\image.jpg"
Dies geschieht mit den Funktionen:
URLDownloadToFile
URLDownloadToCache
URLOpenStream
URLOpenBlockingStream
Die von einigen Browsern und Tools (wie Skype) verwendet werden
SMBTrap mit MitMf
NTLM Diebstahl
Ähnlich wie beim SMB-Trapping kann das Platzieren bösartiger Dateien auf einem Zielsystem (z. B. über SMB) einen SMB-Authentifizierungsversuch auslösen, der es ermöglicht, den NetNTLMv2-Hash mit einem Tool wie Responder abzufangen. Der Hash kann dann offline geknackt oder in einem SMB-Relay-Angriff verwendet werden.
Weitere Informationen: ntlm_theft
HackTricks Automatische Befehle
Last updated