NetBIOS in den Händen eines Hackers

In diesem Artikel wird kurz erklärt, was uns etwas so Alltägliches wie NetBIOSerzählen kann. Welche Informationen kann es potenziellen Angreifern/Pentestern bereitstellen?

Das gezeigte Anwendungsgebiet der Aufklärungstechniken bezieht sich auf interne, also isolierte und von außen nicht zugängliche Netzwerke. Solche Netzwerke finden sich in der Regel in jeder selbst kleinsten Firma.

An sich NetBIOS wird in der Regel verwendet, um einen Netzwerknamen zu erhalten. Und das wird ausreichen, um mindestens 4 Dinge zu tun.

Entdeckung von Hosts
Durch die Fähigkeit von NetBIOS, UDP als Transportprotokoll zu verwenden, ermöglicht die Geschwindigkeit seiner Funktion die Entdeckung von Hosts in sehr großen Netzwerken. So kann beispielsweise das Tool nbtscan, der im gleichnamigen Paket enthalten ist, kann in nur 2 Sekunden (was das Netzwerk überlasten kann) Adressen im Netzwerkbereich 192.168.0.0/16 auflösen, während traditionelles TCP-Scanning Dutzende Minuten in Anspruch nehmen würde. Diese Eigenschaft kann als Technik zur Erkennung von Hosts (Host Sweep) in sehr großen Netzwerken, über die nichts bekannt ist, verwendet werden, bevor nmap gestartet wird. Obwohl das Ergebnis keine 100%ige Erkennung garantiert, da vor allem Windows-Hosts antworten und selbst das nicht alle, ermöglicht es dennoch, die ungefähren Bereiche lebender Hosts zu identifizieren.

Identifizierung von Hosts
Basierend auf den Ergebnissen der Namensabfrage aus IP-Adressen:

kann man sehen: Neben der Tatsache, dass der Name den Eigentümer der Werkstation offenbart (obwohl das übrigens nicht immer der Fall ist), hebt sich eine der Adressen deutlich von den anderen ab. Wir können sehen, dass der Name erhalten wurde KALI. Dieses Verhalten ist typischerweise charakteristisch für unix-Implementierungen SMB/NetBIOS im Rahmen des Softwarepakets samba oder sehr alte Windows 2000.
Die Namensgebung KALI, während auf anderen Hosts dies <unknown> das Vorhandensein einer sogenannten Null-Sitzung. Bei Standardeinstellungen SMB-Server sind Linux anfällig dafür. Null-Sitzung ermöglicht es, völlig anonym (ohne dass wir irgendwelche Passwörter eingegeben haben, wie auf dem Screenshot zu sehen ist) eine beträchtliche Menge zusätzlicher Informationen zu erhalten, wie z.B. lokale Passwortrichtlinien, eine Liste von lokalen Benutzern, Gruppen und eine Liste von freigegebenen Ressourcen (Shares):

Oftmals gibt es auf Linux SMB-Servern öffentliche Shares, die nicht nur zum Lesen, sondern sogar zum Schreiben zugänglich sind. Das Vorhandensein beider birgt unterschiedliche Bedrohungen, deren Nutzung über den Rahmen dieses Artikels hinausgeht.

NetBIOS es ermöglicht auch, die Namen aller Typen zu erhalten, die die Workstation speichert:

in diesem Fall erfährt man, dass der Host auch ein Domänencontroller ist. ARRIVA.

Es ist auch wichtig, zusätzlich zu beachten, dass NetBIOS es ermöglicht, die mac-Adresse zu erhalten. Im Gegensatz zu ARP-Anfragen können NetBIOS-Anfragen über Subnetzgrenzen hinausgehen. Dies kann nützlich sein, wenn beispielsweise ein Laptop oder spezifische Hardware im Netzwerk gefunden werden muss, wobei der Hersteller bekannt ist. Da die ersten drei Oktette mac-Adresse den Hersteller identifizieren, kann man solche Anfragen versenden. NetBIOS-Versuche, das benötigte Gerät in allen bekannten Subnetzen zu finden (http://standards-oui.ieee.org/oui.txt).

Definition der Zugehörigkeit zu Domain
Häufig ist es erforderlich, bei der Navigation durch interne Unternehmensnetzwerke genau einen Arbeitsplatz anzugreifen, der in die Domäne eingebunden ist (zum Beispiel um die Berechtigungen auf das Niveau eines Domänenadministrators zu erhöhen) oder umgekehrt. In diesem Fall NetBIOS kann wieder helfen:

In diesem Fall wurden NetBIOS alle Namen aller Typen erhalten. Unter ihnen kann man neben dem PC-Namen (der bereits zuvor erhalten wurde) auch den Arbeitsgruppennamen sehen. Standardmäßig ist dies für windows in der Regel etwas wie WORKGROUP oder IVAN-PC, aber wenn der Arbeitsplatz in einer Domäne ist, dann ist die Arbeitsgruppe auch der Name der Domäne.
Auf diese Weise kann man mit NetBIOS herausfinden, ob der Arbeitsplatz in der Domäne ist und, falls ja, in welcher.
Wenn jedoch eine Liste von Domain-Hosts innerhalb des Subnetzes benötigt wird, reicht eine einzige Broadcast-Anfrage mit dem Namen der gewünschten Domäne aus:

In der Folge antworten alle Hosts, die Teil dieser Domäne sind.

Erkennung von multihomed Hosts
Und schließlich eine wahrscheinlich sehr wenig bekannte Technik, die einfach unverzichtbar ist für Netzwerke zu finden in geschützte, möglicherweise sogar physisch isolierte Netzwerke. Dies können Werknetzwerke von Unternehmen sein, die mit Controllern ausgestattet sind. Der Zugang zu diesem Netzwerk für einen Angreifer bedeutet die Möglichkeit, den technologischen Prozess zu beeinflussen, und für das Unternehmen das Risiko, enormen Verlust zu erleiden.
Die zentrale Frage ist, dass selbst wenn ein Netzwerk von dem Unternehmensnetz isoliert ist, viele Administratoren oft aus Faulheit oder aus anderen Gründen eine zusätzliche Netzwerkkarte auf ihren PCs aktivieren, um Zugang zu diesem Netzwerk zu erhalten. Dabei geschieht dies natürlich in der Regel unter Umgehung aller Regeln der Unternehmensfirewalls. Praktisch, ja, aber nicht sehr sicher. Wenn Sie gehackt werden, werden Sie zur Brücke in dieses Netzwerk und tragen die Verantwortung.
Für den Angreifer gibt es jedoch ein Problem: Er muss den Administrator finden, der sich illegal mit dem geschützten Netzwerk verbunden hat. Darüber hinaus ist dies auch für die Sicherheitsspezialisten im Netzwerk ein schwieriges Problem. In großen Unternehmen ist es tatsächlich eine komplexe Aufgabe, wie das Finden einer Nadel im Heuhaufen.
In dieser Situation gäbe es für den Angreifer offensichtlich zwei Optionen:
1. Versuchen, jeden PC im Unternehmensnetzwerk als Gateway zum gewünschten Netzwerk zu verwenden. Das wäre sehr praktisch, kommt jedoch selten vor, da windows Hosts IP-Weiterleitung fast immer ausgeschaltet ist. Darüber hinaus kann eine solche Überprüfung nur innerhalb des eigenen Subnetzes erfolgen, und der Angreifer muss die Zieladresse aus dem isolierten Netzwerk genau kennen.
2. Versuchen, sich remote bei jedem Host anzumelden und den einfachen Befehl ipconfig/ifconfigauszuführen. Hier ist jedoch nicht alles so einfach. Selbst wenn der Angreifer über Administratorrechte im Active Directory verfügt, sind Netzwerkschutzsysteme und lokale Firewalls nach wie vor vorhanden. Daher kann diese Aufgabe nicht zu 100 % automatisiert werden. Letztendlich bleibt es mühsam, sich bei jedem Host anzumelden und Netzwerkschutzsysteme zu überwinden (die häufig gerade den Port 445/tcp blockieren), in der Hoffnung, endlich das gewünschte Netzwerkinterface zu sehen.

Es gibt jedoch einen äußerst einfachen Trick, mit dem man von einem bestimmten Host aus eine Liste der Netzwerkinterfaces abrufen kann. Angenommen, wir haben einen bestimmten Host:

dies ist die umgekehrte Auflösung der IP-Adresse → Netzwerkname. Wenn wir nun versuchen, eine direkte Auflösung des Netzwerknamens → IP-Adresse durchzuführen:

werden wir feststellen, dass dieser Host auch ein Gateway (vermutlich) zu einem anderen Netzwerk ist. Es ist erwähnenswert, dass in diesem Fall die Anfrage breit gestreut war. Mit anderen Worten, sie wird nur von Hosts im Subnetz des Angreifers gehört.
Wenn sich der Zielhost jedoch außerhalb des Subnetzes befindet, kann eine gezielte Anfrage gesendet werden:

Hier ist zu erkennen, dass das Ziel außerhalb des Subnetzes des Angreifers liegt. Mit dem Schlüssel -B wurde angegeben, dass die Anfrage an eine bestimmte Adresse und nicht an breiten Empfang gesendet werden soll.
Jetzt bleibt nur noch, schnell Informationen aus dem gesamten interessierenden Subnetz zu sammeln und nicht nur von einer Adresse. Dazu kann ein kleines Python-Skript verwendet werden:

Und nach ein paar Sekunden:

Gerade der выделенный Host hätte in diesem improvisierten Fall das erste Ziel des Angreifers geworden, wenn er das Netzwerk 172.16.1/24 verfolgt hätte.

Wiederholte Namen auf verschiedenen IPs deuten darauf hin, dass der Host auch zwei Netzwerkkarten hat, jedoch bereits im gleichen Subnetz. Hier ist zu beachten, dass NetBIOS nicht offengelegt wird alias-en (die leicht über ARP-Anfragen als IP mit identischen mac). In diesem Fall IP-Adressen verschiedene mac.

Ein weiteres Beispiel für die Anwendung dieser Technik ist öffentliches WLAN. Manchmal kann man die Situation antreffen, in der unter den Gäste-Geräten im öffentlichen Netzwerk Mitarbeiter, die im geschlossenen Unternehmensbereich arbeiten, verbunden sind. Mithilfe dieser Spionagetechnik kann ein Angreifer dann sehr schnell einen Weg zur Überwindung des geschlossenen Netzwerks skizzieren:

In diesem Fall waren unter 65 Clients des öffentlichen WLAN zwei Arbeitsstationen, die über eine zusätzliche Schnittstelle verfügen, die wahrscheinlich zur Unternehmensnetzwerk gehört.

Wenn manchmal zwischen den Netzwerksegmenten oder direkt auf den Arbeitsstationen eine Filterung des Traffics auf Port 445/tcp zu beobachten ist, die einen Remote-Zugang auf das System (Remote Code Execution) verhindert, wird in diesem Fall der Port 137/udp für die Namensauflösung verwendet, dessen bewusste Blockierung fast nie vorkommt, da dies die Benutzerfreundlichkeit im Netzwerk stark beeinträchtigen würde, z. B. könnte die Netzwerkumgebung verschwinden usw. NetBIOS Enumeration ist der Schlüssel

Wie man so schön sagt, Aufzählung ist der Schlüssel
Gibt es einen Schutz davor? Den gibt es nicht, da es sich nicht um eine Schwachstelle handelt. Es ist lediglich ein Standardfunktionalität von dem, was standardmäßig vorhanden ist. windows (in Linux Das Verhalten unterscheidet sich ein wenig. Wenn Sie, möglicherweise unangemeldet, gegen die Regeln der Netzwerkrouting-Navigation in ein geschlossenes Segment eingestiegen sind, wird ein Angreifer Sie auf jeden Fall schnell finden.

Quelle: habr.com