smbtakeover

Windows上でドライバをロードせず、LSASSへモジュールをロードせず、ターゲットマシンを再起動せずに445/tcpのバインド解除と再バインドを行うためのテクニックです。C2経由でのSMBベースのNTLMリレーの負担を軽減するために実装されました。このテクニックの技術的分析は、x33fconでのRelay Your Heart Away: An OPSEC Concious Approach to 445 Takeoverプレゼンテーションで詳しく説明されています。

PoCはPythonとBOFフォーマットの両方で書かれています。どちらもリモートマシンをターゲットにする際にトランスポートとしてRPC over TCP（ncacn_ip_tcp）を利用します。

運用上の使用上の注意

概要については、関連ブログ記事の運用上の使用セクションを参照してください。主なポイントは次のとおりです。

1. これらのサービスを無効化すると、ターゲットが名前付きパイプおよびSMBベースの通信（CIFSなど）のサーバー側を利用する能力が実質的に無効になります。特にターゲットが重要/本番インフラストラクチャである場合は、ターゲットマシンが何に使用されているかを理解してください。サービスは再び有効にすると通常の機能を再開します。
2. 無効化する必要がある一連のサービスが若干異なる場合があります。これは一部のバージョンのWindows Serverや、特定のサードパーティ製ネットワークドライバがインストールされている場合に発生するのを確認しています。これによってこのテクニックの使用が妨げられることはありません。srvnetから逆方向にサービス依存関係を列挙し、考慮すべき追加の依存サービスがないか確認できます。
3. このPoCを使用してこのテクニックを悪用する必要はありません！サービスコントロールマネージャ（SCM）と対話するお気に入りのツールで動作するはずです。
   • 選択したツールがRPCのトランスポートとしてncacn_ip_tcpとncacn_npのどちらを利用するかを理解してください。後者（名前付きパイプ）を使用する場合、ターゲットとリモート通信して再び有効にすることはできません。

セットアップ（Python実装用）

Python仮想環境を作成し、pip installでimpacketをインストールします。

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

使用例

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

クレジット

• Python実装は@Memory_beforeによるwmiexec-Proプロジェクトに大きく基づいています
• BOF実装は@TrustedSecの素晴らしい人々によるCS-Remote-OPs-BOFリポジトリ内のコード（sc_configなど）に大きく基づいています
• BOFはFortraによるbof-vsテンプレートを利用しています