____              __   _____                      _ __       
   / __ \__  ______  / /__/ ___/___  _______  _______(_) /___  __
  / /_/ / / / / __ \/ //_/\__ \/ _ \/ ___/ / / / ___/ / __/ / / /
 / ____/ /_/ / / / / ,<  ___/ /  __/ /__/ /_/ / /  / / /_/ /_/ / 
/_/    \__,_/_/ /_/_/|_|/____/\___/\___/\__,_/_/  /_/\__/\__, /  
                        PRESENTS                        /____/   

SMBeagle

SMBeagle ist ein plattformübergreifendes (SMB) Dateifreigabe-Audit-Tool, das alle Dateien aufspürt, die es im Netzwerk sehen kann, und meldet, ob die Datei gelesen und/oder geschrieben werden kann. Alle diese Ergebnisse werden entweder an eine CSV-Datei oder einen Elasticsearch-Host gestreamt, oder beides! 🚀

Unter Windows, wenn keine Anmeldeinformationen angegeben werden, verwendet SMBeagle die Win32-APIs für maximale Geschwindigkeit und integrierte Authentifizierung.

Unter Linux oder wenn Anmeldeinformationen angegeben werden, verwenden wir die plattformübergreifende Dateiscanning über SMBLibrary

Keine digitale Signierung mehr

SMBeagle bis v3 war digital signiert, aber v4 fügt weitere offensive Funktionen hinzu. Insbesondere sucht es nun nach interessant aussehenden Dateien und ruft sie ab. Großartig für Pentests, aber nicht etwas, das wir digital signieren möchten!

Wenn Sie die Originalversion ohne Dateiabruffunktionen möchten, verwenden Sie v3, die digital signiert ist.

Es hat zwei großartige Anwendungsfälle:

Ein Schlaglicht auf schwache Freigabeberechtigungen werfen

Unternehmen jeder Größe haben oft Dateifreigaben mit schlechten Dateiberechtigungen.

Große Unternehmen haben riesige Freigaben auf Dateiservern, und es ist nicht ungewöhnlich, sensible Daten mit falsch konfigurierten Berechtigungen zu finden.

Kleine Unternehmen haben oft ein kleines NAS in der Ecke des Büros ohne jegliche Einschränkungen!

SMBeagle durchsucht diese Freigaben und listet alle Dateien auf, die es lesen und schreiben kann. Wenn es sie lesen kann, kann das auch Ransomware.

Laterale Bewegung und Privilege Escalation

SMBeagle kann Pentestern die weniger offensichtlichen Wege zur Erhöhung von Privilegien und zur lateralen Bewegung aufzeigen.

Durch die direkte Ausgabe in Elasticsearch können Tester schnell lesbare Skripte und beschreibbare ausführbare Dateien finden.

Wasserloch-Angriffe und ungeschützte Passwörter zu finden, war noch nie so einfach! 🐱‍👤

Um es noch einfacher zu machen, haben wir das Flag -g hinzugefügt, das jetzt Dateien abruft, wenn sie interessant aussehen!

Was sieht interessant aus? Standardmäßig suchen wir nach Skripten und Dateinamen mit Wörtern wie „password“.

... Sie können Ihre eigenen regulären Ausdrücke mit dem Flag --file-pattern bereitstellen.

Kibana-Dashboard

Bitte lesen Sie das Kibana-Readme für detaillierte Anweisungen zur Installation und Verwendung der Kibana-Dashboards, die Management-Visualisierungen bereitstellen und das Datenpivotieren erleichtern.

Installation

Docker

• docker pull punksecurity/smbeagle

Linux

• Gehen Sie zur neuesten Version: https://github.com/punk-security/smbeagle/releases/latest
• Laden Sie die linux_amd64.zip oder linux_arm64.zip herunter
• Entpacken Sie den Download und führen Sie smbeagle im Terminal aus

Windows

• Gehen Sie zur neuesten Version: https://github.com/punk-security/smbeagle/releases/latest
• Laden Sie die win_x64.zip herunter (nur 64-Bit wird derzeit unterstützt)
• Entpacken Sie den Download und führen Sie SMBeagle.exe in einer Eingabeaufforderung oder PowerShell aus

Nutzung

Der einzige zwingend erforderliche Parameter ist die Angabe einer Ausgabe, entweder die IP-Adresse eines Elasticsearch-Hosts oder eine CSV-Datei.

Ein guter Ausgangspunkt ist, den schnellen Modus zu aktivieren und in eine CSV-Datei auszugeben. Diese CSV könnte jedoch je nach Anzahl der gefundenen Dateien sehr groß werden.

./SMBeagle.exe -c out.csv -f

Scannen öffentlicher IPs

Das Scannen von entdeckten öffentlichen Hosts und Netzwerken ist standardmäßig deaktiviert, da SMBeagle Netzwerke über netstat erkennt, das alle aktuellen Verbindungen wie Webbrowser-Sitzungen usw. umfasst.

Um ein öffentliches Netzwerk zu scannen, geben Sie es manuell an, z. B. mit -n 1.0.0.1/32 oder -n 1.0.0.0/24

Docker-Nutzung

Punk Security bietet ein Linux-Docker-Image von SMBeagle.

Um Ergebnisse zu erhalten, müssen Sie einen Ordner in den Container einbinden und SMBeagle anweisen, seine Ausgabe in dieses Mount zu speichern (oder Elasticsearch verwenden).

Ein gutes Starterbeispiel ist:

docker run -v "$(pwd)/output:/tmp/output" punksecurity/smbeagle -c /tmp/output/results.csv -n 10.10.10.0/24

Beachten Sie, dass die Netzwerkerkennung in Docker deaktiviert ist. Stellen Sie daher sicher, dass Sie die zu scannenden Bereiche mit dem Schalter -n oder Hosts mit dem Schalter -h übergeben.

Vollständige Nutzung

USAGE:
Output to a CSV file:
  SMBeagle -c out.csv
Output to elasticsearch (Preferred):
  SMBeagle -e 127.0.0.1
Output to elasticsearch and CSV:
  SMBeagle -c out.csv -e 127.0.0.1
Disable network discovery and provide manual networks:
  SMBeagle -D -e 127.0.0.1 -n 192.168.12.0./23 192.168.15.0/24
Do not enumerate ACLs (FASTER):
  SMBeagle -A -e 127.0.0.1