smbtakeover

Una tecnica per rimuovere e riassociare 445/tcp su Windows senza caricare un driver, caricare un modulo in LSASS o riavviare la macchina target. Implementata per semplificare il lavoro dei relay NTLM basati su SMB durante le operazioni via C2. L'analisi tecnica della tecnica è discussa più in dettaglio durante la presentazione Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover alla x33fcon.

PoC scritti sia in formato Python che BOF. Entrambi utilizzano RPC su TCP (ncacn_ip_tcp) come trasporto quando si ha come target macchine remote.

Note operative di utilizzo

Consulta la sezione Operations Usage del post del blog associato per una panoramica delle considerazioni. I punti salienti includono:

1. Disabilitare questi servizi disabilita di fatto la capacità del target di usare named pipes e il lato server della comunicazione basata su SMB (CIFS, ecc.). Comprendi a cosa serve la macchina target, specialmente se il target è infrastruttura critica / di produzione. I servizi riprenderanno il normale funzionamento una volta riabilitati.
2. Occasionalmente c'è una serie leggermente diversa di servizi che devono essere disabilitati. Ho visto che questo accade in alcune versioni di Windows Server, così come se sono installati determinati driver di rete di terze parti. Questo non ti impedirà di usare questa tecnica. Puoi enumerare le dipendenze dei servizi a ritroso partendo da srvnet e vedere se ci sono ulteriori dipendenti da considerare.
3. Non devi usare per forza questo PoC per abusare di questa tecnica! Il tuo strumento preferito per interagire con il service control manager (SCM) dovrebbe funzionare.
   • Assicurati di capire se lo strumento scelto usa ncacn_ip_tcp o ncacn_np come trasporto per RPC. Se usa quest'ultimo (named pipes), non sarai in grado di comunicare in remoto con il target per riabilitare.

Setup (per l'implementazione Python)

Crea un ambiente virtuale Python e installa impacket con pip install.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

Esempi di utilizzo

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

Crediti

• L'implementazione Python è fortemente basata sul progetto wmiexec-Pro di @Memory_before
• L'implementazione BOF è fortemente basata sul codice del repository CS-Remote-OPs-BOF, come sc_config, delle grandi persone di @TrustedSec
• Il BOF fa uso del template bof-vs di Fortra