smbtakeover

تقنية لفك وإعادة ربط منفذ 445/TCP على ويندوز دون تحميل برنامج تشغيل، أو تحميل وحدة نمطية إلى LSASS، أو إعادة تشغيل الجهاز الهدف. تم تنفيذها لتخفيف عبء ترحيل NTLM القائم على SMB أثناء العمل عبر C2. يُناقش التحليل الفني لهذه التقنية بمزيد من التفصيل خلال عرض Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover في x33fcon.

تمت كتابة إثباتات المفهوم (PoCs) بصيغة Python وصيغة BOF. يستخدم كلاهما RPC عبر TCP (ncacn_ip_tcp) كوسيلة نقل عند استهداف الأجهزة البعيدة.

ملاحظات الاستخدام التشغيلي

يرجى الاطلاع على قسم Operations Usage في مقال المدونة المرتبط للحصول على نظرة عامة على الاعتبارات. تشمل أبرز النقاط ما يلي:

1. تعطيل هذه الخدمات يؤدي فعليًا إلى تعطيل قدرة الهدف على استخدام الأنابيب المسماة (named pipes) والجانب الخادم من الاتصال القائم على SMB (مثل CIFS وما إلى ذلك). افهم الغرض من الجهاز الهدف، خاصة إذا كان الهدف بنية تحتية حرجة / خاصة بالإنتاج. ستعود الخدمات إلى وظائفها الطبيعية بمجرد إعادة تمكينها.
2. في بعض الأحيان توجد سلسلة مختلفة قليلًا من الخدمات التي يجب تعطيلها. لقد رأيت ذلك يحدث في بعض إصدارات Windows Server، وكذلك في حالة تثبيت برامج تشغيل شبكة تابعة لجهات خارجية. لن يمنعك ذلك من استخدام هذه التقنية. يمكنك تعداد تبعيات الخدمات بالرجوع إلى الخلف من srvnet ومعرفة ما إذا كانت هناك تبعيات إضافية يجب أخذها في الاعتبار.
3. لست مضطرًا لاستخدام إثبات المفهوم هذا لاستغلال هذه التقنية! يجب أن تعمل أداتك المفضلة للتفاعل مع مدير التحكم بالخدمات (SCM).
   • تأكد من فهم ما إذا كانت الأداة التي اخترتها تستخدم ncacn_ip_tcp أو ncacn_np كوسيلة نقل لـ RPC. إذا كانت تستخدم الوسيلة الأخيرة (الأنابيب المسماة)، فلن تتمكن من التواصل عن بُعد مع الهدف لإعادة التمكين.

الإعداد (لتطبيق Python)

أنشئ بيئة Python افتراضية وقم بتثبيت impacket عبر pip install.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

أمثلة الاستخدام

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

الاعتمادات

• يعتمد تطبيق Python بشكل كبير على مشروع wmiexec-Pro بواسطة @Memory_before
• يعتمد تطبيق BOF بشكل كبير على كود داخل مستودع CS-Remote-OPs-BOF، مثل sc_config، من الأشخاص الرائعين في @TrustedSec
• يستخدم BOF قالب bof-vs من Fortra