strozfriedberg/badsambaDieses Modul wird verwendet, um die Ausführung von Startskripten über Windows-Gruppenrichtlinieneinstellungen auszunutzen, wenn diese so konfiguriert sind, dass sie von einer entfernten SMB-Freigabe ausgeführt werden.
Dieses Modul wird verwendet, um die Ausführung von Startskripten über Windows-Gruppenrichtlinien-Einstellungen auszunutzen, wenn diese so konfiguriert sind, dass sie von einer entfernten SMB-Freigabe ausgeführt werden.
Windows-Gruppenrichtlinien können verwendet werden, um Startskripte zu konfigurieren, die bei jedem Einschalten des Betriebssystems ausgeführt werden. Diese Skripte werden mit hohen Rechten ausgeführt, nämlich mit dem Konto NT AUTHORITY/SYSTEM.
Wenn es einem Angreifer gelingt, Verkehrsmanipulationsangriffe durchzuführen und den Verkehrsfluss während des Neustarts auf den bösartigen SMB-Server umzuleiten, ist es möglich, Befehle aus der Ferne als SYSTEM-Konto auszuführen.
Dieses Modul akzeptiert alle Formen der Authentifizierung, sei es anonym, Domäne, leeres Passwort oder nicht existierende Konten. Es erlaubt jedem Benutzer, eine Verbindung zum SMB-Server und zur Freigabe herzustellen.
Es führt außerdem Datei-Spoofing durch und liefert dieselbe Datei aus, unabhängig davon, welche Datei ursprünglich angefordert wurde und mit welcher SMB-Freigabe der Client verbunden ist. Wenn der Benutzer foo.vbs anfordert, sendet es evil.vbs.
Getestet wurde dies auf Windows 7 Service Pack 1 (x86) mit .bat- und .vbs-Skripten.
Blog-Beitrag: "BadSamba - Ausnutzung von Windows-Startskripten mithilfe eines bösartigen SMB-Servers" - http://blog.gdssecurity.com/labs/2015/1/26/badsamba-exploiting-windows-startup-scripts-using-a-maliciou.html
BadSamba wurde mit .bat- und .vbs-Remote-Skripteinbindungen getestet. Die Dateierweiterung scheint eine Rolle zu spielen. Wenn also eine .bat-Datei angefordert wird, sollte eine .bat-Datei ausgeliefert werden.
In der Laborumgebung wurde der Proof-of-Concept gegen Windows 7 SP1 (Englisch) getestet. Unterschiedliche Windows-Versionen können unterschiedlich reagieren, aber die grundlegenden Konzepte sollten dieselben bleiben.
Es ist derzeit nicht möglich, die Dateien in der SMB-Freigabe zu "durchsuchen". Dies ist auf die Komplexität des SMB-Protokolls zurückzuführen, und das Hinzufügen dieser Funktionalität würde die Komplexität des Moduls erheblich erhöhen.
Das Protokoll ist ziemlich laut, und daher kann es schwierig sein zu bestimmen, ob die Datei erfolgreich heruntergeladen oder ob sie heruntergeladen und ausgeführt wurde.
Derzeit gibt es keine exklusive Sperre für angeforderte Dateien, sodass die Datei mehrmals heruntergeladen werden kann. Meiner Erfahrung nach wird sie nur einmal ausgeführt, aber sie sorgt für eine verrauschte Ausgabe im Modul.
