smbtakeover

Методика отвязки и повторной привязки 445/tcp в Windows без загрузки драйвера, загрузки модуля в LSASS или перезагрузки целевой машины. Реализована для облегчения проведения NTLM-ретрансляций на основе SMB при работе через C2. Технический анализ методики более подробно рассматривается в презентации Relay Your Heart Away: An OPSEC Concious Approach to 445 Takeover на конференции x33fcon.

PoC-эксплойты написаны как на Python, так и в формате BOF. Оба варианта используют RPC поверх TCP (ncacn_ip_tcp) в качестве транспорта при работе с удалёнными машинами.

Примечания по использованию

Пожалуйста, обратитесь к разделу Оперативное использование в соответствующем посте в блоге для ознакомления с основными соображениями. Основные моменты включают:

1. Отключение этих служб фактически лишает целевую систему возможности использовать именованные каналы и серверную часть SMB-ориентированного взаимодействия (CIFS и т.д.). Понимайте, для чего используется целевая машина, особенно если она является критически важной / производственной инфраструктурой. После повторного включения служб они возобновят нормальную работу.
2. Иногда набор служб, которые необходимо отключить, несколько отличается. Я сталкивался с этим в некоторых версиях Windows Server, а также при установке определённых сторонних сетевых драйверов. Это не помешает вам использовать данную методику. Вы можете перечислить зависимости служб в обратном порядке, начиная с srvnet, и проверить, нет ли дополнительных зависимых служб, которые стоит принять во внимание.
3. Вам не обязательно использовать этот PoC, чтобы применить эту методику! Ваш любимый инструмент для взаимодействия с диспетчером управления службами (SCM) должен подойти.
   • Убедитесь, что вы понимаете, использует ли выбранный вами инструмент ncacn_ip_tcp или ncacn_np в качестве транспорта для RPC. Если он использует последний (именованные каналы), вы не сможете удалённо связаться с целевой системой для повторного включения служб.

Установка (для реализации на Python)

Создайте виртуальное окружение Python и установите impacket с помощью pip install.

1. git clone https://github.com/zyn3rgy/smbtakeover.git
2. cd smbtakeover
3. python3 -m virtualenv venv
4. source venv/bin/activate
5. python3 -m pip install impacket
6. python3 smbtakeover.py -h

Пример использования

Python

• python3 smbtakeover.py atlas.lab/josh:[email protected] check
• python3 smbtakeover.py atlas.lab/josh:[email protected] stop
• python3 smbtakeover.py atlas.lab/josh:[email protected] start

BOF

1. bof_smbtakeover localhost check
2. bof_smbtakeover 10.0.0.21 stop
3. bof_smbtakeover localhost start

Благодарности

• Реализация на Python во многом основана на проекте wmiexec-Pro от @Memory_before
• Реализация BOF во многом основана на коде из репозитория CS-Remote-OPs-BOF, например sc_config, от замечательных ребят из @TrustedSec
• BOF использует шаблон bof-vs от Fortra