____              __   _____                      _ __       
   / __ \__  ______  / /__/ ___/___  _______  _______(_) /___  __
  / /_/ / / / / __ \/ //_/\__ \/ _ \/ ___/ / / / ___/ / __/ / / /
 / ____/ /_/ / / / / ,<  ___/ /  __/ /__/ /_/ / /  / / /_/ /_/ / 
/_/    \__,_/_/ /_/_/|_|/____/\___/\___/\__,_/_/  /_/\__/\__, /  
                        PRESENTS                        /____/   

SMBeagle

SMBeagle est un outil multiplateforme d’audit de partages de fichiers (SMB) qui parcourt tous les fichiers qu’il peut voir sur le réseau et signale si le fichier peut être lu et/ou écrit. Tous ces résultats sont diffusés vers un fichier CSV ou un hôte Elasticsearch, ou les deux ! 🚀

Sous Windows, sans fournir d’identifiants, SMBeagle utilise les API Win32 pour une vitesse maximale et une authentification intégrée.

Sous Linux, ou lorsque des identifiants sont fournis, nous utilisons l’analyse de fichiers multiplateforme via SMBLibrary

Fin de la signature numérique

SMBeagle jusqu’à la v3 était signé numériquement, mais la v4 ajoute des fonctionnalités plus offensives. Notamment, il va désormais rechercher et récupérer les fichiers qui semblent intéressants. Idéal pour les tests d’intrusion, mais pas quelque chose que nous souhaitons signer numériquement !

Si vous voulez la version originale, sans les fonctionnalités de capture de fichiers, utilisez la v3 qui est signée numériquement.

Il a 2 cas d’utilisation géniaux :

Mettre en lumière les permissions faibles des partages

Les entreprises de toutes tailles ont souvent des partages de fichiers avec des permissions désastreuses.

Les grandes entreprises ont des partages tentaculaires sur les serveurs de fichiers et il n’est pas rare de trouver des données sensibles avec des permissions mal configurées.

Les petites entreprises ont souvent un petit NAS dans un coin du bureau sans aucune restriction !

SMBeagle parcourt ces partages et liste tous les fichiers qu’il peut lire et écrire. S’il peut les lire, les ransomwares le peuvent aussi.

Mouvement latéral et élévation de privilèges

SMBeagle peut fournir aux testeurs d’intrusion les chemins les moins évidents pour élever leurs privilèges et se déplacer latéralement.

En diffusant directement dans Elasticsearch, les testeurs peuvent rapidement trouver des scripts lisibles et des exécutables inscriptibles.

Trouver des attaques de watering hole et des mots de passe non protégés n’a jamais été aussi facile ! 🐱‍👤

Pour rendre cela encore plus simple, nous avons ajouté le drapeau -g qui récupère désormais les fichiers s’ils ont l’air intéressants !

Qu’est-ce qui a l’air intéressant ? Par défaut, nous cherchons des scripts et des noms de fichiers contenant des mots comme password.

… Vous pouvez fournir vos propres expressions régulières avec le drapeau --file-pattern.

Tableau de bord Kibana

Veuillez consulter Kibana readme pour des instructions détaillées sur l’installation et l’utilisation des tableaux de bord Kibana qui fournissent des visuels de gestion et facilitent le pivotement des données.

Installation

Docker

• docker pull punksecurity/smbeagle

Linux

• Allez sur la dernière version https://github.com/punk-security/smbeagle/releases/latest
• Téléchargez le fichier linux_amd64.zip ou linux_arm64.zip
• Décompressez le téléchargement et exécutez smbeagle depuis le terminal

Windows

• Allez sur la dernière version https://github.com/punk-security/smbeagle/releases/latest
• Téléchargez le fichier win_x64.zip (seulement la version 64 bits est prise en charge pour le moment)
• Décompressez le téléchargement et exécutez SMBeagle.exe depuis une invite de commandes ou un terminal PowerShell

Utilisation

Le seul paramètre obligatoire est de définir une sortie, qui doit être soit une adresse IP d’hôte Elasticsearch, soit un fichier CSV.

Un bon point de départ est d’activer le mode rapide et de sortir vers un CSV, mais ce CSV pourrait devenir énorme selon le nombre de fichiers trouvés.

./SMBeagle.exe -c out.csv -f

Scan d’IP publiques

Le scan des hôtes et réseaux publics découverts est désactivé par défaut, car SMBeagle découvre les réseaux à partir de netstat qui inclut toutes les connexions en cours, comme les sessions de navigateur web, etc.

Pour scanner un réseau public, déclarez-le manuellement avec quelque chose comme -n 1.0.0.1/32 ou -n 1.0.0.0/24

Utilisation de Docker

Punk security fournit une image Docker Linux de SMBeagle.

Pour récupérer les résultats, vous devrez monter un dossier dans le conteneur et indiquer à SMBeagle de sauvegarder sa sortie dans ce montage (ou utiliser Elasticsearch).

Un bon exemple de départ est :

docker run -v "$(pwd)/output:/tmp/output" punksecurity/smbeagle -c /tmp/output/results.csv -n 10.10.10.0/24

Notez que la découverte réseau est désactivée lors de l’exécution dans Docker, alors assurez-vous de passer les plages que vous souhaitez scanner avec l’option -n, ou les hôtes avec l’option -h.

Utilisation complète

USAGE:
Output to a CSV file:
  SMBeagle -c out.csv
Output to elasticsearch (Preferred):
  SMBeagle -e 127.0.0.1
Output to elasticsearch and CSV:
  SMBeagle -c out.csv -e 127.0.0.1
Disable network discovery and provide manual networks:
  SMBeagle -D -e 127.0.0.1 -n 192.168.12.0./23 192.168.15.0/24
Do not enumerate ACLs (FASTER):
  SMBeagle -A -e 127.0.0.1