punk-security/smbeagleSMBeagle - Herramienta de auditoría de archivos compartidos.
____ __ _____ _ __
/ __ \__ ______ / /__/ ___/___ _______ _______(_) /___ __
/ /_/ / / / / __ \/ //_/\__ \/ _ \/ ___/ / / / ___/ / __/ / / /
/ ____/ /_/ / / / / ,< ___/ / __/ /__/ /_/ / / / / /_/ /_/ /
/_/ \__,_/_/ /_/_/|_|/____/\___/\___/\__,_/_/ /_/\__/\__, /
PRESENTS /____/
SMBeagle es una herramienta de auditoría de recursos compartidos de archivos (SMB) multiplataforma que busca todos los archivos que puede ver en la red e informa si el archivo se puede leer y/o escribir. Todos estos hallazgos se transmiten a un archivo CSV o a un host de Elasticsearch, ¡o ambos!? 🚀
Cuando se ejecuta en Windows, sin proporcionar credenciales, SMBeagle usará las API de win32 para máxima velocidad y autenticación integrada.
Cuando se ejecuta en Linux, o cuando se proporcionan credenciales, usamos el escaneo de archivos multiplataforma a través de SMBLibrary
SMBeagle hasta la v3 estaba firmado digitalmente, pero la v4 añade más características ofensivas. En concreto, ahora buscará y recuperará archivos que parezcan jugosos. Genial para pentests, pero no es algo que queramos firmar digitalmente.
Si deseas la versión original, sin las funciones de captura de archivos, usa la v3 que está firmada digitalmente.
Tiene 2 casos de uso increíbles:
Las empresas de todos los tamaños a menudo tienen recursos compartidos de archivos con permisos terribles.
Las grandes empresas tienen recursos compartidos extensos en servidores de archivos y no es raro encontrar datos sensibles con permisos mal configurados.
Las pequeñas empresas a menudo tienen un pequeño NAS en la esquina de la oficina sin restricciones.
SMBeagle rastrea estos recursos compartidos y enumera todos los archivos que puede leer y escribir. Si puede leerlos, el ransomware también puede.
SMBeagle puede proporcionar a los probadores de penetración las rutas menos obvias para escalar privilegios y moverse lateralmente.
Al enviar la salida directamente a Elasticsearch, los probadores pueden encontrar rápidamente scripts legibles y ejecutables escribibles.
¡Encontrar ataques de watering hole y contraseñas desprotegidas nunca fue tan fácil! 🐱👤
Para hacerlo aún más fácil, hemos añadido la bandera -g que ahora recuperará archivos si parecen interesantes.
¿Qué parece interesante? Bueno, por defecto buscamos scripts y nombres de archivo con palabras como "password".
... Puedes proporcionar tus propias expresiones regulares con la bandera --file-pattern.
Consulta el archivo Léeme de Kibana para obtener instrucciones detalladas sobre la instalación y el uso de los paneles de Kibana que proporcionan visuales de gestión y facilitan el pivoteo de datos.
docker pull punksecurity/smbeagleEl único parámetro obligatorio es establecer una salida, que debe ser la dirección IP de un host de Elasticsearch o un archivo CSV.
Un buen punto de partida es habilitar el modo rápido y enviar la salida a CSV, pero este CSV podría volverse enorme dependiendo de cuántos archivos encuentre.
./SMBeagle.exe -c out.csv -f
El escaneo de hosts y redes públicas descubiertas está deshabilitado por defecto, ya que SMBeagle descubre redes a partir de netstat, que incluye todas las conexiones actuales, como las sesiones del navegador web, etc.
Para escanear una red pública, declárala manualmente con algo como -n 1.0.0.1/32 o -n 1.0.0.0/24
Punk security proporciona una imagen Docker de Linux de SMBeagle.
Para obtener los resultados, deberás montar una carpeta en el contenedor y decirle a SMBeagle que guarde su salida en ese montaje (o usar Elasticsearch).
Un buen ejemplo inicial es:
docker run -v "$(pwd)/output:/tmp/output" punksecurity/smbeagle -c /tmp/output/results.csv -n 10.10.10.0/24
Ten en cuenta que la detección de redes está deshabilitada cuando se ejecuta en Docker, así que asegúrate de pasar los rangos que
deseas escanear con el parámetro de línea de comandos -n, o los hosts con el parámetro -h.
USO:
Salida a un archivo CSV:
SMBeagle -c out.csv
Salida a Elasticsearch (preferido):
SMBeagle -e 127.0.0.1
Salida a Elasticsearch y CSV:
SMBeagle -c out.csv -e 127.0.0.1
Deshabilitar detección de red y proporcionar redes manuales:
SMBeagle -D -e 127.0.0.1 -n 192.168.12.0./23 192.168.15.0/24
No enumerar ACLs (MÁS RÁPIDO):
SMBeagle -A -e 127.0.0.1