{"id":30258,"date":"2019-10-31T21:34:32","date_gmt":"2019-10-31T18:34:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/netbios-v-rukah-hakera\/"},"modified":"2019-10-31T21:34:32","modified_gmt":"2019-10-31T18:34:32","slug":"netbios-v-rukah-hakera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/netbios-v-rukah-hakera","title":{"rendered":"NetBIOS nelle mani di un hacker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In questo articolo si parler\u00e0 brevemente di cosa pu\u00f2 rivelare un elemento apparentemente banale come NetBIOS<\/i>. Quali informazioni pu\u00f2 fornire a un potenziale malintenzionato o pentester.<\/a><\/noindex><\/p>\n

L'area di applicazione delle tecniche di intelligence dimostrata si riferisce a reti interne, isolate e non accessibili dall'esterno. Tali reti sono tipicamente presenti in qualsiasi azienda, anche la pi\u00f9 piccola.<\/p>\n

Di per s\u00e9 NetBIOS<\/i> viene utilizzato, di norma, per ottenere un nome di rete. E questo sar\u00e0 sufficiente per fare almeno 4 cose.<\/p>\n

Rilevamento degli host<\/b>
\nGrazie al fatto che NetBIOS pu\u00f2 utilizzare UDP come trasporto, la sua velocit\u00e0 consente di rilevare host in reti molto grandi. Ad esempio, lo strumento nbtscan<\/i>, che fa parte dell'omonimo pacchetto, pu\u00f2 risolvere gli indirizzi di una rete come 192.168.0.0\/16 in sole 2 secondi (potrebbe sovraccaricare la rete), mentre una scansione TCP tradizionale richiederebbe decine di minuti. Questa caratteristica pu\u00f2 essere utilizzata come tecnica di rilevamento degli host (host sweep) in reti molto grandi di cui non si sa nulla, prima di lanciare nmap. Anche se il risultato non garantisce un riconoscimento al 100%, poich\u00e9 principalmente risponderanno gli host Windows e non tutti, consentir\u00e0 comunque di determinare in quali aree si trovano approssimativamente gli host attivi.<\/p>\n

Identificazione degli host<\/b>
\nUtilizzando i risultati per ottenere nomi dagli indirizzi IP:<\/p>\n

\"NetBIOS
\n
\n\u00e8 possibile vedere: oltre al fatto che il nome rivela il proprietario della stazione di lavoro (anche se ci\u00f2 non \u00e8 sempre vero), uno degli indirizzi si distingue chiaramente dagli altri. Possiamo vedere che \u00e8 stato ottenuto il nome KALI<\/i>. Un tale comportamento \u00e8 tipicamente caratteristico della unix<\/i>-realizzazione SMB\/NetBIOS<\/i> incluso nel pacchetto software samba<\/i> o nelle versioni molto antiche di Windows 2000<\/i>.
\nOttenimento del nome KALI<\/i>, mentre su altri host questo <unknown<\/i>> indica la presenza di una cosiddetta null-session<\/i>. Con le impostazioni predefinite, SMB<\/i>i server sono inclini a questo. linux<\/i> La null-session consente di ottenere in modo assolutamente anonimo (e non abbiamo inserito alcuna password, come si vede dallo screenshot) una quantit\u00e0 sufficiente di informazioni aggiuntive, come la politica locale delle password, l'elenco degli utenti locali, dei gruppi e l'elenco delle risorse condivise (share):<\/i> Spesso su<\/p>\n

\"NetBIOS
\nlinux SMB SMB Linux<\/i>-nei server possono esserci condivisioni accessibili pubblicamente non solo in sola lettura, ma anche in scrittura. La presenza di entrambe comporta diversi rischi, il cui utilizzo va oltre l'ambito di questo articolo.<\/p>\n

NetBIOS<\/i> permette anche di ottenere i nomi di tutti i tipi che memorizza la workstation:<\/p>\n

\"NetBIOS
\n
\nin questo caso consente di scoprire che l'host \u00e8 anche un controller di dominio ARRIVA<\/i>.<\/p>\n

Vale anche la pena notare che NetBIOS<\/i> permette di ottenere mac<\/i>-indirizzo. A differenza delle richieste arp, le richieste NetBIOS possono oltrepassare i limiti della sottorete. Questo pu\u00f2 essere utile se, ad esempio, si desidera trovare in rete un laptop o un hardware specifico, conoscendo il suo produttore. Poich\u00e9 i primi tre ottetti mac<\/i>-degli indirizzi identificano il produttore, si possono inviare tali NetBIOS<\/i>-richieste a tutte le sottoreti conosciute per cercare il dispositivo desiderato (http:\/\/standards-oui.ieee.org\/oui.txt).<\/p>\n

Determinazione dell'appartenenza a dominio<\/a><\/b>
\nSpesso, durante il movimento nelle reti aziendali interne, \u00e8 necessario attaccare precisamente la workstation inclusa nel dominio (ad esempio, per elevare i privilegi al livello di amministratore di dominio) o viceversa. In questo caso NetBIOS<\/i> pu\u00f2 di nuovo aiutare:<\/p>\n

\"NetBIOS
\n
\nIn questo caso, grazie a NetBIOS<\/i> sono stati ottenuti tutti i nomi di tutti i tipi. Tra di essi si pu\u00f2 vedere, oltre al nome del PC (ci\u00f2 che era gi\u00e0 stato ottenuto in precedenza), anche il nome del gruppo di lavoro. Di default per windows<\/i> \u00e8 generalmente qualcosa come WORKGROUP<\/i> o IVAN-PC<\/i>, ma se la workstation \u00e8 nel dominio, il suo gruppo di lavoro \u00e8 proprio il nome del dominio.
\nIn questo modo, grazie a NetBIOS<\/i> si pu\u00f2 scoprire se la workstation \u00e8 nel dominio e, se s\u00ec, in quale.
\nSe si desidera ottenere un elenco di host di dominio all'interno della sottorete, basta una richiesta di broadcast con il nome del dominio desiderato:<\/p>\n

\"NetBIOS
\n
\nin risposta risponderanno tutti gli host appartenenti a questo dominio.<\/p>\n

Rilevamento degli host multihomed<\/b>
\nE infine, un'altra tecnica probabilmente poco conosciuta, che \u00e8 semplicemente indispensabile per trovare percorsi<\/i> in reti protette, forse addirittura fisicamente isolate. Queste possono essere reti di fabbrica aziendali, dotate di controllori. L'accesso a questa rete per un malintenzionato significa la possibilit\u00e0 di influenzare il processo tecnologico, e per l'azienda c'\u00e8 il rischio di subire enormi perdite.
\nQuindi, la sostanza \u00e8 che anche se la rete \u00e8 isolata dalla rete aziendale, molti amministratori, per pigrizia o per altri motivi, amano attivare un'altra scheda di rete sui propri PC per accedere a questa rete. Ovviamente, tutto ci\u00f2 avviene in violazione delle varie regole dei firewall aziendali. Comodo, s\u00ec, ma non molto sicuro, nel caso in cui veniate hackerati, diventerete un ponte verso questa rete e ne porterete la responsabilit\u00e0.
\nTuttavia, per l'intruso c'\u00e8 un problema: trovare quell'amministratore che \u00e8 entrato illegalmente nella rete protetta. Inoltre, questo \u00e8 un problema complicato anche per gli esperti di sicurezza di rete. In grandi aziende, \u00e8 davvero una sfida difficile, come cercare un ago in un pagliaio.
\nIn questa situazione ci sarebbero due opzioni ovvie per l'intruso:
\n1. cercare di utilizzare ogni PC nella sottorete aziendale come gateway per la rete desiderata. Sarebbe molto comodo, ma \u00e8 raro, poich\u00e9 sui windows<\/i> host l'inoltro IP<\/i> \u00e8 quasi sempre disabilitato. Inoltre, questo tipo di verifica \u00e8 possibile solo all'interno della propria sottorete, e richiede all'intruso di conoscere esattamente l'indirizzo di destinazione dalla rete isolata.
\n2. tentare di accedere da remoto a ogni host ed eseguire il comando banale ipconfig\/ifconfig<\/i>. E qui le cose non sono cos\u00ec semplici. Anche se l'intruso ha ottenuto i diritti di amministratore di dominio, i firewall di rete e locali non sono stati eliminati. Quindi questo compito non pu\u00f2 essere completamente automatizzato. Pertanto, rimane necessario accedere faticosamente a ciascun host, superando i firewall (spesso bloccano proprio la porta 445\/tcp), nella speranza di vedere finalmente l'interfaccia di rete desiderata.<\/p>\n

Tuttavia, tutto \u00e8 molto pi\u00f9 semplice. Esiste un trucco estremamente semplice che consente di ottenere da uno dei vari host un elenco delle interfacce di rete. Supponiamo di avere un certo host:<\/p>\n

\"NetBIOS
\n
\n\u00e8 la risoluzione inversa dell'indirizzo IP \u2192 nome di rete. Se ora proviamo a fare la risoluzione diretta del nome di rete \u2192 indirizzo IP:<\/p>\n

\"NetBIOS
\n
\nscopriremo che questo host \u00e8 anche un gateway (apparentemente) per qualche altra rete. Vale la pena notare che in questo caso la richiesta \u00e8 stata inviata in modo broadcast. In altre parole, verr\u00e0 ascoltata solo dagli host all'interno della sottorete dell'intruso.
\nSe il host target si trova al di fuori della sottorete, \u00e8 possibile inviare una richiesta mirata:<\/p>\n

\"NetBIOS
\n
\nIn questo caso, \u00e8 evidente che l'obiettivo si trova al di fuori della sottorete dell'attaccante. Con la chiave -B \u00e8 stato specificato che la richiesta deve essere inviata a un indirizzo specifico, e non a un indirizzo di broadcast.
\nRimane solo da raccogliere rapidamente informazioni su tutta la sottorete di interesse, e non su un singolo indirizzo. Per fare questo, \u00e8 possibile utilizzare un piccolo python<\/i>-script:<\/p>\n

\"NetBIOS
\n
\nE dopo qualche secondo:<\/p>\n

\"NetBIOS
\n
\nIn questo caso, l'host specifico sarebbe diventato il primo obiettivo dell'attaccante, se stesse cercando di attaccare la rete 172.16.1\/24.<\/p>\n

\"NetBIOS
\n
\nNomi ripetuti su indirizzi IP diversi indicano che l'host ha anche due schede di rete, ma gi\u00e0 in una stessa sottorete. \u00c8 importante notare che NetBIOS<\/i> non divulga alias<\/i>-s (che possono essere facilmente calcolati tramite richieste ARP come IP con lo stesso mac<\/i>). In questo caso indirizzi IP<\/a> hanno diverse mac<\/i>.<\/p>\n

Un altro esempio di utilizzo di questa tecnica \u00e8 il Wi-Fi pubblico. A volte si pu\u00f2 incontrare una situazione in cui tra i dispositivi guest si connette alla rete pubblica il personale che lavora in un segmento aziendale chiuso. In tal modo, con questa tecnica di sorveglianza, l'attaccante potrebbe rapidamente delineare un percorso per accedere alla rete chiusa:<\/p>\n

\"NetBIOS
\n
\nIn questo caso, tra i 65 client del Wi-Fi pubblico ci sono due workstation che hanno un'interfaccia aggiuntiva, probabilmente relativa alla rete aziendale.<\/p>\n

Se a volte tra i segmenti di rete o direttamente sulle workstation si osserva una filtrazione del traffico sulla porta 445\/tcp, che impedisce l'accesso remoto al sistema (esecuzione remota di codice), in questo caso per la risoluzione dei nomi si NetBIOS<\/i> utilizza la porta 137\/udp, il cui blocco consapevole \u00e8 quasi inesistente, poich\u00e9 questo comprometterebbe notevolmente la facilit\u00e0 d'uso della rete, ad esempio, potrebbe scomparire l'ambiente di rete, ecc.<\/p>\n

Come si suol dire, l'enumerazione \u00e8 la chiave<\/i>
\nC'\u00e8 una protezione contro questo? Non esiste, poich\u00e9 non si tratta di una vulnerabilit\u00e0 in s\u00e9. \u00c8 solo una funzionalit\u00e0 standard di quello che esiste per default presso windows<\/i> (in linux<\/i> il comportamento \u00e8 leggermente diverso). E se, per caso, vi connettete in modo non concordato, aggirando le regole di instradamento della rete, l'attaccante vi trover\u00e0 sicuramente e lo far\u00e0 molto rapidamente.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS. \u041a\u0430\u043a\u0443\u044e \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0434\u043b\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\/\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u044b\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c \u0438\u0437\u0432\u043d\u0435 \u0441\u0435\u0442\u044f\u043c. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0442\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0443 \u043b\u044e\u0431\u043e\u0439 \u0434\u0430\u0436\u0435 \u0443 \u0441\u0430\u043c\u043e\u0439 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0421\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-30258","post","type-post","status-publish","format-standard","hentry","category-blog"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NetBIOS nelle mani di un hacker | ProHoster","description":"In questo articolo parleremo brevemente di cosa ci pu\u00f2 raccontare una cosa che appare cos\u00ec familiare come NetBIOS.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/netbios-v-rukah-hakera","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47NetBIOS \u0432 \u0440\u0443\u043a\u0430\u0445 \u0445\u0430\u043a\u0435\u0440\u0430 | ProHoster","og:description":"\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS.","og:url":"https:\/\/prohoster.info\/it\/blog\/netbios-v-rukah-hakera","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:32+00:00","article:modified_time":"2019-10-31T18:34:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30258","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 15:53:47","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:38:39","updated":"2026-02-09 15:53:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=30258"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30258\/revisions"}],"predecessor-version":[{"id":158465,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30258\/revisions\/158465"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=30258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=30258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=30258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}