smbtakeover

Windows पर ड्राइवर लोड किए बिना, LSASS में मॉड्यूल लोड किए बिना, या लक्ष्य मशीन को रिबूट किए बिना 445/tcp को अनबाइंड और रीबाइंड करने की एक तकनीक। C2 पर काम करते समय SMB-आधारित NTLM रिले के बोझ को कम करने के लिए इसे लागू किया गया है। तकनीक का तकनीकी विश्लेषण x33fcon पर Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover प्रस्तुति में अधिक विस्तार से चर्चा की गई है।

PoCs को Python और BOF दोनों प्रारूपों में लिखा गया है। दोनों रिमोट मशीनों को लक्षित करते समय परिवहन के रूप में TCP (ncacn_ip_tcp) पर RPC का उपयोग करते हैं।

परिचालन उपयोग नोट्स

कृपया विचारणीय बातों के अवलोकन के लिए संबंधित ब्लॉग पोस्ट में परिचालन उपयोग अनुभाग देखें। मुख्य बिंदु निम्नलिखित हैं:

1. इन सेवाओं को अक्षम करने से लक्ष्य की namedpipes और SMB-आधारित संचार (CIFS, आदि) के सर्वर-पक्ष का लाभ उठाने की क्षमता प्रभावी रूप से अक्षम हो जाती है। समझें कि लक्ष्य मशीन किस लिए उपयोग की जाती है, खासकर यदि लक्ष्य महत्वपूर्ण / उत्पादन बुनियादी ढांचा है। सेवाओं को पुनः सक्षम करने पर वे सामान्य कार्यक्षमता फिर से शुरू कर देंगी।
2. कभी-कभी अक्षम करने के लिए सेवाओं का थोड़ा अलग क्रम होता है। मैंने इसे Windows Server के कुछ संस्करणों में देखा है, साथ ही यदि कुछ तृतीय-पक्ष नेटवर्किंग ड्राइवर स्थापित हैं। यह आपको इस तकनीक का उपयोग करने से नहीं रोकेगा। आप srvnet से पीछे की ओर सेवा निर्भरताओं की गणना कर सकते हैं और देख सकते हैं कि क्या विचार करने के लिए अतिरिक्त आश्रित हैं।
3. इस तकनीक का दुरुपयोग करने के लिए आपको इस PoC का उपयोग करने की आवश्यकता नहीं है! सेवा नियंत्रण प्रबंधक (SCM) के साथ इंटरैक्ट करने के लिए आपका पसंदीदा टूल काम करना चाहिए।
   • सुनिश्चित करें कि आप समझते हैं कि आपके द्वारा चुना गया टूल RPC के लिए परिवहन के रूप में ncacn_ip_tcp या ncacn_np का उपयोग करता है या नहीं। यदि यह बाद वाले (named pipes) का उपयोग करता है, तो आप पुनः सक्षम करने के लिए लक्ष्य के साथ दूरस्थ रूप से संवाद नहीं कर पाएंगे।

सेटअप (Python कार्यान्वयन के लिए)

एक Python वर्चुअल वातावरण बनाएं और pip install impacket चलाएं।

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

उदाहरण उपयोग

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

श्रेय

• Python कार्यान्वयन @Memory_before द्वारा wmiexec-Pro प्रोजेक्ट पर काफी हद तक आधारित है।
• BOF कार्यान्वयन @TrustedSec के महान लोगों द्वारा CS-Remote-OPs-BOF रिपॉजिटरी में मौजूद कोड पर काफी हद तक आधारित है, जैसे sc_config।
• BOF Fortra से bof-vs टेम्पलेट का उपयोग करता है।