Página Inicial || Próximo || Anterior
SMB - Auditoria com Metasploit
O protocolo SMB é uma conhecida superfície de ataque. O Metasploit oferece o módulo de scan para o SMB e esse módulo pode ser usado para auditoria interna nos servidores. No decorrer desse artigo, vou mostrar alguns tipos de scan interessantes disponíveis no metasploit.
smb_enumusers
Um scan que é muito útil é o smb_enumusers Ao executar esse scan, o resultado é a lista de usuários locais do servidor e essa informação é útil nas auditorias internas e também pode ser utilizado durante um ataque. O scan sem credenciais não tem um resultado satisfatório mas o scan autenticado retorna a lista dos usuários disponíveis no alvo.
Resultado
smb2
O protocolo SMBv2 ainda é muito utilizado apesar de apresentar vulnerabilidades graves, os impactos para desabilitar esse protocolo em determinados ambientes faz com que o risco seja assumido ou mitigado de alguma forma. Manter os servidores e as máquinas desktop/laptop atualizadas é a maneira de prevenir as vulnerabilidades do protocolo SMBv2.
Em uma auditria em um ambiente controlado, talvez seja necessário identificar máquinas onde o SMBv2 está habilitado. O metasploit disponibiliza o scan smb2 para fazer esse levantamento.
Resultado
smb_login
Esse scan é comum ser utilizado em ataques. No entanto, seu uso em uma auditoria interna também é válido pois, se durante a auditoria tiver suspeita de que uma conta de usuário foi comprometida e teve acesso ao servidor partir do SMB, será necessário testar para comprovar a suspeita. Dessa forma, o scan smb_login realiza um brute-force com a lista de logins informados.
No exemplo abaixo, eu criei 2 listas: users.txt e pass.txt e adicionei no local padrão de wordlists do metasploit /usr/share/metasploit-framework/data/wordlists/
Resultado
smb_lookupsid
O módulo smb_lookupsid é utilizado para identificar em quais servidores determinados usuários tem acesso. Esse scan é bastante parecido com o smb_enumusers, as diferenças estão no mapeamento dos grupos e do SID do usuário quando ele é encontrado no servidor.
Resultado
O objetivo desse artigo foi demostrar alguns módulos de scan para SMB interessantes e que podem ser utilizados em auditorias.