strozfriedberg/badsambaQuesto modulo viene utilizzato per sfruttare l'esecuzione di script di avvio tramite le impostazioni dei Criteri di gruppo di Windows quando sono configurati per essere eseguiti da una condivisione SMB remota.
Questo modulo viene utilizzato per sfruttare l'esecuzione di script di avvio tramite le impostazioni di Criteri di gruppo di Windows quando configurati per essere eseguiti da una condivisione SMB remota.
I Criteri di gruppo di Windows possono essere utilizzati per configurare script di avvio che vengono eseguiti ogni volta che il sistema operativo si accende. Questi script vengono eseguiti con un livello di privilegi elevato, l'account NT AUTHORITY/SYSTEM.
Se un attaccante è in grado di effettuare attacchi di manipolazione del traffico e reindirizzare il flusso di traffico verso il server SMB malevolo durante il riavvio, è possibile eseguire comandi da remoto come account SYSTEM.
Questo modulo accetterà tutte le forme di autenticazione, siano esse anonime, di dominio, con password vuota o account inesistenti. Consentirà a qualsiasi utente di connettersi al server SMB e alla condivisione.
Eseguirà inoltre lo spoofing dei file e fornirà lo stesso file indipendentemente dal file originariamente richiesto e indipendentemente dalla condivisione SMB a cui il client è connesso. Se l'utente richiede foo.vbs, gli verrà inviato evil.vbs.
È stato testato su Windows 7 Service Pack 1 (x86) utilizzando script .bat e .vbs.
Articolo del blog: "BadSamba - Exploiting Windows Startup Scripts Using A Malicious SMB Server" - http://blog.gdssecurity.com/labs/2015/1/26/badsamba-exploiting-windows-startup-scripts-using-a-maliciou.html
BadSamba è stato testato utilizzando inclusioni di script remoti .bat e .vbs. L'estensione del file sembra avere importanza, quindi se viene richiesto un .bat, fornisci un .bat.
Nell'ambiente di laboratorio, i test sono stati effettuati su Windows 7 SP1 (inglese) per la prova di concetto. Versioni diverse di Windows potrebbero reagire in modo diverso, ma i concetti principali dovrebbero rimanere gli stessi.
Attualmente non è possibile "sfogliare" i file all'interno della condivisione SMB. Ciò è dovuto alla complessità del protocollo SMB e l'aggiunta di questa funzionalità aumenterebbe notevolmente la complessità del modulo.
Il protocollo è piuttosto "rumoroso", e quindi può essere difficile determinare se il file è stato scaricato con successo o se è stato scaricato ed eseguito.
Attualmente non esiste un blocco esclusivo sui file richiesti, e questo consente al file di essere scaricato più volte. Nella mia esperienza, viene eseguito solo una volta, ma rende l'output del modulo piuttosto rumoroso.
