strozfriedberg/badsambaEste módulo se utiliza para explotar la ejecución de scripts de inicio a través de la configuración de directivas de grupo de Windows cuando está configurado para ejecutarse desde un recurso compartido SMB remoto.
Este módulo se utiliza para explotar la ejecución de scripts de inicio mediante la configuración de directivas de grupo de Windows cuando están configuradas para ejecutarse desde un recurso compartido SMB remoto.
Las directivas de grupo de Windows se pueden utilizar para configurar scripts de inicio que se ejecutarán cada vez que el sistema operativo se encienda. Estos scripts se ejecutan con un alto nivel de privilegio, la cuenta NT AUTHORITY/SYSTEM.
Si un atacante es capaz de realizar ataques de manipulación de tráfico y redirigir el flujo de tráfico al servidor SMB malicioso durante el reinicio, es posible ejecutar comandos de forma remota como la cuenta SYSTEM.
Este módulo aceptará todas las formas de autenticación, ya sea anónima, de dominio, con contraseña en blanco o cuentas inexistentes. Permitirá que cualquier usuario se conecte al servidor SMB y al recurso compartido.
También realizará suplantación de archivos y servirá el mismo archivo independientemente del archivo solicitado originalmente, e independientemente del recurso compartido SMB al que esté conectado el cliente. Si el usuario solicita foo.vbs, se le enviará evil.vbs.
Esto se probó en Windows 7 Service Pack 1 (x86) usando scripts .bat y .vbs.
Publicación del blog: "BadSamba - Explotando scripts de inicio de Windows mediante un servidor SMB malicioso" - http://blog.gdssecurity.com/labs/2015/1/26/badsamba-exploiting-windows-startup-scripts-using-a-maliciou.html
BadSamba ha sido probado utilizando inclusiones de scripts remotos .bat y .vbs. La extensión del archivo sí parece importar, por lo que si se solicita un .bat, se debe servir un .bat.
En el entorno de laboratorio, las pruebas se han realizado contra Windows 7 SP1 (inglés) para la prueba de concepto. Las diferentes versiones de Windows pueden reaccionar de manera diferente, pero los conceptos principales deberían seguir siendo los mismos.
Actualmente no es posible "Explorar" los archivos dentro del recurso compartido SMB. Esto se debe a la complejidad del protocolo SMB, y añadir esta funcionalidad aumentaría enormemente la complejidad del módulo.
El protocolo es bastante ruidoso, por lo que puede ser difícil determinar si el archivo se descargó con éxito o si se descargó y ejecutó.
Actualmente no hay un bloqueo exclusivo sobre los archivos solicitados, y esto permite que el archivo se descargue varias veces. En mi experiencia, solo se ejecuta una vez, pero hace que la salida dentro del módulo sea ruidosa.
