smbtakeover

Windows에서 드라이버를 로드하거나 LSASS에 모듈을 로드하거나 대상 머신을 재부팅하지 않고 445/tcp를 바인딩 해제하고 다시 바인딩하는 기술입니다. C2를 통해 운영하는 동안 SMB 기반 NTLM 릴레이의 부담을 덜기 위해 구현되었습니다. 이 기술에 대한 기술적 분석은 x33fcon에서 진행된 Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover 프레젠테이션에서 자세히 논의됩니다.

PoC는 Python과 BOF 형식으로 작성되었습니다. 둘 다 원격 머신을 대상으로 할 때 전송 수단으로 RPC over TCP(ncacn_ip_tcp)를 사용합니다.

운영 사용 참고 사항

전반적인 고려 사항은 관련 블로그 게시물의 Operations Usage 섹션을 참조하세요. 주요 사항은 다음과 같습니다:

1. 이 서비스들을 비활성화하면 대상이 named pipe와 SMB 기반 통신(CIFS 등)의 서버 측을 활용하는 기능이 사실상 비활성화됩니다. 특히 대상이 중요하거나 프로덕션 인프라인 경우, 대상 머신이 어떤 용도로 사용되는지 이해하세요. 서비스를 다시 활성화하면 정상 기능이 재개됩니다.
2. 가끔 비활성화해야 하는 일련의 서비스가 약간 다를 수 있습니다. 일부 Windows Server 버전이나 특정 타사 네트워킹 드라이버가 설치된 경우에도 이런 현상이 발생하는 것을 확인했습니다. 이는 이 기술을 사용하는 데 방해가 되지 않습니다. srvnet에서 역방향으로 서비스 종속성을 열거하여 추가로 고려해야 할 종속 항목이 있는지 확인할 수 있습니다.
3. 이 PoC를 사용하지 않아도 이 기술을 악용할 수 있습니다! 서비스 제어 관리자(SCM)와 상호 작용하는 즐겨 사용하는 도구라면 무엇이든 작동합니다.
   • 선택한 도구가 RPC 전송으로 ncacn_ip_tcp를 사용하는지 ncacn_np를 사용하는지 반드시 확인하세요. 후자(named pipe)를 사용하는 경우 원격으로 대상과 통신하여 다시 활성화할 수 없습니다.

설정 (Python 구현용)

Python 가상 환경을 만들고 pip install로 impacket을 설치합니다.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

사용 예시

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

크레딧

• Python 구현은 @Memory_before 님의 wmiexec-Pro 프로젝트를 기반으로 크게 작성되었습니다.
• BOF 구현은 @TrustedSec 팀의 sc_config 등 CS-Remote-OPs-BOF 저장소의 코드를 기반으로 크게 작성되었습니다.
• BOF는 Fortra의 bof-vs 템플릿을 사용합니다.