NetBIOS в ръцете на хакер

В тази статия ще бъде направен кратък разказ за това, какво може да ни разкаже едно на пръв поглед обичайно нещо като NetBIOS. Каква информация може да предостави на потенциален злонамерен потребител/пентестър.

Показаната област на приложение на разузнавателните техники се отнася до вътрешни мрежи, т.е. изолирани и недостъпни отвън. Такива мрежи обикновено съществуват в почти всяка, дори и най-малка компания.

Сам по себе си NetBIOS се използва, обикновено, за получаване на име на мрежа. И това ще е достатъчно, за да направим поне 4 неща.

Откриване на хостове
Благодарение на това, че NetBIOS може да използва UDP като транспорт, скоростта на работа му позволява да открива хостове в много големи мрежи. Например, инструментът nbtscan, който е част от същия пакет, може само за 2 секунди (може да повали мрежата) да разреши адресите на мрежа от вида 192.168.0.0/16, докато традиционното TCP сканиране ще отнеме десетки минути. Тази особеност може да се използва като техника за откриване на хостове (host sweep) в много големи мрежи, за които нищо не е известно, преди да стартираме nmap. Въпреки че резултатът не гарантира 100% откритие, тъй като обикновено само Windows хостовете отговарят и не всички, все пак ще позволи да се определи в какви приблизителни диапазони се намират живите хостове.

Идентификация на хостове
Използвайки резултатите от получаването на имена от IP адреси:

можем да видим: освен че името разкрива собственика на работната станция (макар че това не е задължително), един от адресите явно се откроява на фона на другите. Можем да видим, че е получено име KALI. Такова поведение обикновено е характерно за unix-реализация SMB/NetBIOS в състава на софтуерния пакет samba или много стари Windows 2000.
Получаване на име KALI, докато на други хостове това <unknown> свидетелства за наличието на така наречената null-session. При стандартни настройки SMB-сървъри са linux предразположени към нея. Null-session позволява абсолютно анонимно (а ние не введохме никакви пароли, както може да се види на скрийншота) да получим доста много допълнителна информация, като местната паролна политика, списък на локалните потребители, групи и списък на споделените ресурси (шар):

Често на linux SMB-сървърите предлагат публично достъпни шари не само за четене, но дори и за запис. Наличието на и двете носи различни заплахи, използването на които излиза извън рамките на тази статия.

NetBIOS също така позволява да се получат имената на всички типове, които работната станция съхранява:

в този случай това позволява да разберем, че хостът е и контролер на домейнa ARRIVA.

Трябва също така да се обърне внимание, че NetBIOS позволява да се получи mac-адрес. Въпреки това, за разлика от arp-запитванията, NetBIOS-запитванията могат да излязат извън подсетите. Това може да бъде полезно, ако например, е необходимо да се открие в мрежата някой лаптоп или специфичен хардуер, знаейки неговия производител. Първите три октета mac-адреса идентифицират производителя, така че, разпращайки подобни NetBIOS-запитвания до всички известни подсети, можем да се опитаме да намерим нужното устройство (http://standards-oui.ieee.org/oui.txt).

Определение на принадлежността към домейн
Често при преместване по вътрешни корпоративни мрежи е необходимо да се атакува именно работната станция, включена в домейнa (например, за повишаване на привилегиите до ниво домейн администратор) или обратно. В този случай NetBIOS отново може да помогне:

В този случай с помощта на NetBIOS бяха получени всички имена на всички типове. Сред тях можем да видим, освен името на ПК (това, което вече беше получено преди), още и името на работната група. По подразбиране за windows то обикновено е нещо като WORKGROUP или IVAN-PC, но ако работната станция е в домейн, то нейната работна група е самото име на домейнa.
По този начин, с помощта на NetBIOS можем да разберем дали работната станция е в домейн и, ако да, в кой.
Ако е необходимо да се получи списък с домейн хостовете в рамките на подсетите, достатъчен е един широковещателен запит с името на нужния домейн:

в резултат на което ще отговорят всички хостове, включени в този домейн.

Откриване на multihomed хостове
И накрая, още една вероятно много малко известна техника, която е просто незаменима за намирането на пътища в защитени, възможно и физически изолирани мрежи. Това могат да бъдат производствени мрежи, напълнени с контролери. Достъпът до тази мрежа за нападателя означава възможността да влияе на технологичния процес, а за предприятието рискът от колосални загуби.
И така, същността е, че дори когато мрежата е изолирана от корпоративната мрежа, често някои администратори, независимо дали поради мързел или по друга причина, обичат да активират още една мрежова карта на своите ПК за достъп до тази същата мрежа. При това всички тези действия, разбира се, се извършват в нарушение на всякакви правила на корпоративните мрежови екрани. Удобно, нали, но не много безопасно, в случай че ви хакнат, тогава вие ще станете мост към тази мрежа и ще носите отговорност.
Въпреки това, за злонамереното лице тук има един проблем – да намери конкретния администратор, който е влязъл в защитената мрежа по подобен нелегален начин. Освен това, това не е лесен проблем и за самите специалисти по сигурността на мрежата. В големи предприятия това е наистина сложна задача, като да откриеш игла в сено.
В тази ситуация очевидните варианти за злонамереното лице биха били два:
1. да се опита да използва всеки ПК в корпоративната подсистема като шлюз към необходимата мрежа. Това би било много удобно, но рядко се среща, тъй като на windows хостовете ip forwarding почти винаги е изключен. Освен това, подобна проверка може да се извършва само в рамките на собствената подсистема, а също така изисква злонамереното лице да знае точно целевия адрес от изолираната мрежа.
2. да се опита да влиза дистанционно на всеки хост и да изпълни проста команда ipconfig/ifconfig. И тук не всичко е толкова гладко. Дори ако злонамереното лице успее да получи права на домейн администратор, мрежовите екрани и локалните фойерволи не са отменени. Така че тази задача не се автоматизира на 100%. В резултат остава мъчително да се влиза на всеки хост, преодолявайки мрежовите екрани (често блокиращи именно порта 445/tcp), с надеждата най-накрая да видят желания мрежов интерфейс.

Обаче всичко е много по-просто. Съществува едно изключително просто средство, което позволява да се получи от определен хост списък с мрежови интерфейси. Да предположим, че имаме определен хост:

това е обратен резолв ip-адрес → мрежово име. Ако сега се опитаме да направим правен резолв мрежово име → ip-адрес:

то ще разберем, че даденият хост е също така шлюз (предполагаемо) в някаква друга мрежа. Струва си да се отбележи, че в този случай заявката е била широковещателна. С други думи, само хостовете от подсистемата на злонамереното лице ще я чуят.
Ако целевият хост е извън подсет, можете да изпратите насочена заявка:

В този случай е видно, че целта е извън подсетта на нападателя. С помощта на ключа -B беше указано, че заявката трябва да бъде изпратена на конкретен адрес, а не на широковещателен.
Сега остава само да съберете бързо информация от целия интересуващ подсет, а не от един адрес. За това можете да използвате малък python-скрипт:

И след няколко секунди:

Точно определен хост в този импровизиран случай би станал първата цел на нападателя, ако той преследва мрежа 172.16.1/24.

Повтарящите се имена на различни IP показват, че хостът има две мрежови карти, но вече в една подсет. Тук е важно да се отбележи, че NetBIOS не разкрива alias-те (които могат да бъдат изчислени чрез arp-запитвания като IP с еднакъв mac). В този случай IP адресите имат различни mac.

Друг пример за използване на тази техника е общественото Wi-Fi. Понякога можете да се срещнете със ситуация, когато сред гостите на обществени устройства, свързващи се с мрежата, се включват и служители, работещи в затворен корпоративен сегмент. Тогава с помощта на тази разузнавателна техника нападателят много бързо може да планира своя маршрут към затворената мрежа:

В този случай сред 65 клиента на общественото Wi-Fi имаше две работни станции, които разполагат с допълнителен интерфейс, вероятно свързан с корпоративната мрежа.

Ако понякога между мрежовите сегменти или директно на работните станции се наблюдава филтрация на трафика на порт 445/tcp, която пречи на отдалечения вход в системата (отдалечено изпълнение на код), то в този случай за разрешаване на имената по NetBIOS се използва порт 137/udp, което е почти никога не блокирано, тъй като това ще наруши значително удобството при работа в мрежата, например, мрежовата среда може да изчезне и т.н.

Както казват, enumeration is the key
Има ли защита от това? Няма, тъй като това не е уязвимост за всичко. Това е само стандартна функционалност на малкото, което има по подразбиране windows (на linux (поведението е малко различно). И ако вие, случайно, без съгласие, заобикаляйки правилата на мрежовото маршрутизиране, влезете в затворения сегмент, то нападателят определено ще ви намери и ще го направи много бързо.

Източник: habr.com