smbtakeover

Eine Technik, um 445/tcp unter Windows zu entkoppeln und wieder zu koppeln, ohne einen Treiber zu laden, ein Modul in LSASS zu laden oder den Zielcomputer neu zu starten. Implementiert, um die Last von SMB-basierten NTLM-Relays während des Betriebs über C2 zu verringern. Die technische Analyse der Technik wird im Rahmen des Vortrags Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover bei x33fcon ausführlicher besprochen.

PoCs sind sowohl in Python als auch im BOF-Format geschrieben. Beide verwenden RPC über TCP (ncacn_ip_tcp) als Transport, wenn sie auf entfernte Maschinen abzielen.

Hinweise zur betrieblichen Nutzung

Bitte beachten Sie den Abschnitt Operations Usage des zugehörigen Blogbeitrags für einen Überblick über die Überlegungen. Die wichtigsten Punkte sind:

1. Das Deaktivieren dieser Dienste deaktiviert effektiv die Fähigkeit des Ziels, Named Pipes und die serverseitige SMB-basierte Kommunikation (CIFS usw.) zu nutzen. Verstehen Sie, wofür der Zielcomputer verwendet wird, insbesondere wenn das Ziel eine kritische/Produktionsinfrastruktur ist. Die Dienste nehmen ihre normale Funktionalität wieder auf, sobald sie wieder aktiviert werden.
2. Gelegentlich muss eine etwas andere Reihe von Diensten deaktiviert werden. Dies ist mir in einigen Versionen von Windows Server sowie bei installierten bestimmten Netzwerktreibern von Drittanbietern begegnet. Das hindert Sie nicht daran, diese Technik zu verwenden. Sie können die Dienstabhängigkeiten rückwärts von srvnet ausgehend aufzählen und prüfen, ob es weitere abhängige Dienste zu berücksichtigen gibt.
3. Sie müssen dieses PoC nicht verwenden, um diese Technik auszunutzen! Ihr bevorzugtes Tool zur Interaktion mit dem Service Control Manager (SCM) sollte funktionieren.
   • Stellen Sie sicher, dass Sie verstehen, ob das von Ihnen gewählte Tool ncacn_ip_tcp oder ncacn_np als Transport für RPC verwendet. Wenn es Letzteres (Named Pipes) verwendet, können Sie nicht remote mit dem Ziel kommunizieren, um es wieder zu aktivieren.

Einrichtung (für die Python-Implementierung)

Erstellen Sie eine virtuelle Python-Umgebung und installieren Sie impacket per pip install.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

Beispielverwendung

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

Danksagungen

• Die Python-Implementierung basiert stark auf dem Projekt wmiexec-Pro von @Memory_before
• Die BOF-Implementierung basiert stark auf Code im Repository CS-Remote-OPs-BOF, etwa sc_config, von den großartigen Leuten bei @TrustedSec
• Die BOF verwendet die Vorlage bof-vs von Fortra