PowerHuntShares v2

PowerHuntShares ist ein PowerShell-Tool, das entwickelt wurde, um Cybersicherheitsteams und Penetrationstestern dabei zu helfen, SMB-Freigaben in den Active Directory-Umgebungen, die sie schützen, besser zu identifizieren, zu verstehen, anzugreifen und zu beheben. Jeder Hacker hat eine Geschichte über den Missbrauch von SMB-Freigaben, aber es ist eine Angriffsfläche, die Cybersicherheitsteams immer noch nur schwer verteidigen können. Dieses Projekt zielt darauf ab, ein offenes Proof-of-Concept-Tool zur Erstellung eines umfassenden Freigabeinventars bereitzustellen, das Statistiken, Diagramme, Grafiken und Sprachmodelle nutzt, um Freigaben zu kontextualisieren, Beziehungen zusammenzufassen, Risiken zu bewerten und die Behebung zu priorisieren.

Es unterstützt Funktionen zur:

• Authentifizierung unter Verwendung des aktuellen Benutzerkontexts, eines Credentials oder Klartext-Benutzername/Passwort.
• Erkennung zugänglicher Systeme, die automatisch einer Active Directory-Domäne zugeordnet sind. Es filtert auch Active Directory-Computer basierend auf verfügbaren offenen Ports.
• Zielsetzung auf einen einzelnen Computer, eine Liste von Computern oder erkannte Active Directory-Computer (Standard).
• Sammlung von SMB-Freigabe-ACL-Informationen von Zielcomputern mittels PowerShell.
• Analyse der gesammelten Freigabe-ACL-Daten.
• Berichterstattung von Zusammenfassungsberichten und Details zu übermäßigen Berechtigungen in HTML- und CSV-Dateiformaten.

Bonusfunktionen:

• Eigenständige LLM-Funktionen: https://github.com/NetSPI/PowerHuntShares/blob/main/Scripts/Invoke-FingerPrintShare.ps1
• Eigenständige Passwort-Parser: https://github.com/NetSPI/PowerHuntShares/tree/main/Scripts/ConfigParsers

PowerHuntShares v2 Ressourcen:

• v2 Blog: https://www.netspi.com/blog/technical-blog/network-pentesting/powerhuntshares-2-0-release/

PowerHuntShares v1 Ressourcen:

• v1 Blog: https://www.netspi.com/blog/technical/network-penetration-testing/network-share-permissions-powerhuntshares/
• v1 Präsentationsvideo : https://www.youtube.com/watch?v=TtwyQchCz6E
• v1 Präsentationsfolien: https://github.com/NetSPI/PowerHuntShares/blob/main/Presentations/SO-CON_2025_Sutherland_Hunting_SMB_Shares_Final.pdf

Vokabular

PowerHuntShares inventarisiert SMB-Freigabe-ACLs, die mit „übermäßigen Berechtigungen“ konfiguriert sind, und hebt „hochriskante“ ACLs hervor. Im Folgenden ist definiert, was in diesem Zusammenhang darunter verstanden wird.

Übermäßige Berechtigungen
Übermäßige Lese- und Schreibfreigabeberechtigungen wurden als jede Netzwerkfreigabe-ACL definiert, die einen expliziten ACE (Access Control Entry) für die Gruppen „Everyone“, „Authenticated Users“, „BUILTIN\Users“, „Domain Users“ oder „Domain Computers“ enthält. Alle ermöglichen Domänenbenutzern aufgrund von Vererbungsproblemen Zugriff auf die betroffenen Freigaben. Beachten Sie, dass es einen Parameter gibt, der es Operatoren erlaubt, eigene Zielgruppen hinzuzufügen.
Im Folgenden finden Sie einige zusätzliche Hintergrundinformationen:

• Everyone ist ein direkter Verweis, der sowohl für nicht authentifizierte als auch für authentifizierte Benutzer gilt. Normalerweise ist nur eine Nullsitzung erforderlich, um auf diese Ressourcen zuzugreifen.
• BUILTIN\Users enthält Authenticated Users
• Authenticated Users enthält Domain Users auf domänengebundenen Systemen. Deshalb können Domain Users auf eine Freigabe zugreifen, wenn die Freigabeberechtigungen „BUILTIN\Users“ zugewiesen wurden.
• Domain Users ist ein direkter Verweis
• Domain Users können standardmäßig bis zu 10 Computerkonten erstellen, die in der Gruppe Domain Computers platziert werden.
• Domain Users, die lokale Administratorrechte auf einem domänengebundenen Computer haben, können auch das Computerkonto imitieren.

Bitte beachten Sie: Freigabeberechtigungen können durch NTFS-Berechtigungen außer Kraft gesetzt werden. Beachten Sie auch, dass beim Testen Freigabenamen ausgeschlossen wurden, die die folgenden Schlüsselwörter enthalten:

print$, prnproc$, printer, netlogon,and sysvol

Hochriskante Freigaben
Im Kontext dieses Berichts wurden hochriskante Freigaben als Freigaben definiert, die unbefugten Remote-Zugriff auf ein System oder eine Anwendung ermöglichen. Standardmäßig umfasst dies die Freigaben

 wwwroot, inetpub, c$, und admin$   

Es können jedoch weitere Gefährdungen bestehen, die darüber hinaus nicht erwähnt werden.

Setup-Befehle

Nachfolgend finden Sie eine Liste von Befehlen, die verwendet werden können, um PowerHuntShares in Ihre aktuelle PowerShell-Sitzung zu laden. Bitte beachten Sie, dass einer dieser Befehle jedes Mal ausgeführt werden muss, wenn PowerShell gestartet wird. Es ist nicht dauerhaft.

# Bypass execution policy restrictions
Set-ExecutionPolicy -Scope Process Bypass

# Import module that exists in the current directory
Import-Module .\PowerHuntShares.psm1

or

# Reduce SSL operating level to support connection to github
[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}
[Net.ServicePointManager]::SecurityProtocol =[Net.SecurityProtocolType]::Tls12

# Download and load PowerHuntShares.psm1 into memory
IEX(New-Object System.Net.WebClient).DownloadString("https://raw.githubusercontent.com/NetSPI/PowerHuntShares/main/PowerHuntShares.psm1")

Beispielbefehle

Wichtiger Hinweis: Alle Befehle sollten als unprivilegierter Domänenbenutzer ausgeführt werden.

.EXAMPLE 1: Run from a domain computer. Performs Active Directory computer discovery by default.
PS C:\temp\test> Invoke-HuntSMBShares -Threads 100 -OutputDirectory c:\temp\test 

.EXAMPLE 2: Run from a domain computer with alternative domain credentials. Performs Active Directory computer discovery by default.
PS C:\temp\test> Invoke-HuntSMBShares -Threads 100 -OutputDirectory c:\temp\test -Credential domain\user

.EXAMPLE 3: Run from a domain computer as current user. Target hosts in a file. One per line.
PS C:\temp\test> Invoke-HuntSMBShares -Threads 100 -OutputDirectory c:\temp\test  -HostFile c:\temp\hosts.txt      

.EXAMPLE 4: Run from a non-domain computer with credential. Performs Active Directory computer discovery by default.
C:\temp\test> runas /netonly /user:domain\user PowerShell.exe
PS C:\temp\test> Import-Module PowerHuntShares.psm1
PS C:\temp\test> Invoke-HuntSMBShares -Threads 100 -RunSpaceTimeout 10 -OutputDirectory c:\folder\ -DomainController 10.1.1.1 -Credential domain\user 

===============================================================
PowerHuntShares
===============================================================
 This function automates the following tasks:     

 o Determine current computer's domain
 o Enumerate domain computers        
 o Filter for computers that respond to ping requests          
 o Filter for computers that have TCP 445 open and accessible  
 o Enumerate SMB shares 
 o Enumerate SMB share permissions   
 o Identify shares with potentially excessive privileges       
 o Identify shares that provide read & write access           
 o Identify shares that are high risk
 o Identify common share owners, names, & directory listings   
 o Generate creation, last written, & last accessed timelines
 o Generate html summary report and detailed csv files