smbtakeover

Una técnica para desvincular y volver a vincular 445/tcp en Windows sin cargar un controlador, cargar un módulo en LSASS, ni reiniciar la máquina objetivo. Implementada para aliviar la carga de los relays NTLM basados en SMB mientras se opera a través de C2. El análisis técnico de la técnica se discute con más detalle durante la presentación Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover en x33fcon.

PoCs escritos tanto en formato Python como BOF. Ambos utilizan RPC sobre TCP (ncacn_ip_tcp) como transporte al apuntar a máquinas remotas.

Operational Usage Notes

Consulta la sección Operations Usage de la publicación de blog asociada para obtener una visión general de las consideraciones. Los aspectos más destacados incluyen:

1. Deshabilitar estos servicios deshabilita efectivamente la capacidad del objetivo para aprovechar named pipes y el lado del servidor de la comunicación basada en SMB (CIFS, etc.). Comprende para qué se utiliza la máquina objetivo, especialmente si el objetivo es infraestructura crítica / de producción. Los servicios reanudarán su funcionalidad normal una vez que se vuelvan a habilitar.
2. Ocasionalmente hay una serie ligeramente diferente de servicios que deben deshabilitarse. He visto que esto ocurre en algunas versiones de Windows Server, así como si están instalados ciertos controladores de red de terceros. Esto no te impedirá usar esta técnica. Puedes enumerar las dependencias de servicios hacia atrás desde srvnet y ver si hay dependientes adicionales a considerar.
3. ¡No tienes que usar este PoC para abusar de esta técnica! Tu herramienta favorita para interactuar con el administrador de control de servicios (SCM) debería funcionar.
   • Asegúrate de entender si la herramienta que elijas utiliza ncacn_ip_tcp o ncacn_np como transporte para RPC. Si usa el último (named pipes), no podrás comunicarte de forma remota con el objetivo para volver a habilitarlo.

Setup (for Python implementation)

Crea un entorno virtual de Python e instala impacket mediante pip install.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

Example Usage

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

Credits

• La implementación en Python se basa en gran medida en el proyecto wmiexec-Pro de @Memory_before
• La implementación del BOF se basa en gran medida en el código del repositorio CS-Remote-OPs-BOF, como sc_config, de la gran gente de @TrustedSec
• El BOF utiliza la plantilla bof-vs de Fortra