{"id":30258,"date":"2019-10-31T21:34:32","date_gmt":"2019-10-31T18:34:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/netbios-v-rukah-hakera\/"},"modified":"2019-10-31T21:34:32","modified_gmt":"2019-10-31T18:34:32","slug":"netbios-v-rukah-hakera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/netbios-v-rukah-hakera","title":{"rendered":"NetBIOS in de handen van een hacker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In dit artikel wordt een kort verhaal verteld over wat zo'n schijnbaar alledaags iets ons kan vertellen als NetBIOS<\/i>. Welke informatie kan het bieden voor een potenti\u00eble aanvaller\/pentest?<\/a><\/noindex><\/p>\n

Het gedemonstreerde toepassingsgebied van inlichtingentechnieken heeft betrekking op interne, dat wil zeggen ge\u00efsoleerde en van buitenaf niet-toegankelijke netwerken. Dergelijke netwerken zijn doorgaans aanwezig in elk bedrijf, zelfs de kleinste.<\/p>\n

Zelfs NetBIOS<\/i> wordt doorgaans gebruikt om een netwernaam te verkrijgen. En dat is genoeg om minstens vier dingen te doen.<\/p>\n

Hostdetectie<\/b>
\nDankzij het feit dat NetBIOS UDP kan gebruiken als transport, stelt de snelheid deze in staat om hosts in zeer grote netwerken te detecteren. Zo kan het hulpmiddel nbtscan<\/i>, dat deel uitmaakt van dezelfde pakket, binnen 2 seconden (het kan het netwerk verstoren) de adressen van netwerken zoals 192.168.0.0\/16 resolven, terwijl traditioneel TCP-scannen tientallen minuten in beslag neemt. Deze eigenschap kan worden gebruikt als een techniek voor hostdetectie (host sweep) in zeer grote netwerken waarvan we niets weten, voordat we nmap draaien. Hoewel het resultaat geen 100% detectie garandeert, aangezien voornamelijk Windows-hosts zullen reageren en niet allemaal, zal het ons toch helpen te bepalen in welke ongeveer bereiken actieve hosts zich bevinden.<\/p>\n

Hostidentificatie<\/b>
\nDoor de resultaten van het verkrijgen van namen uit IP-adressen:<\/p>\n

\"NetBIOS
\n
\nkunnen we zien: naast het feit dat de naam de eigenaar van de werkstation onthult (hoewel dat trouwens niet altijd het geval is), valt \u00e9\u00e9n van de adressen duidelijk op tussen de anderen. We kunnen zien dat de naam is verkregen KALI<\/i>. Dit gedrag is typisch voor unix<\/i>-implementaties SMB\/NetBIOS<\/i> als onderdeel van de softwarepakket samba<\/i> of zeer oude Windows 2000<\/i>.
\nNaam verkrijgen KALI<\/i>, terwijl op andere hosts dit <unknown<\/i>> wijst op de aanwezigheid van een zogenaamde null-sessie<\/i>. Bij de standaardinstellingen SMB<\/i>-servers zijn ze er gevoelig voor. linux<\/i> Null-sessie maakt het mogelijk om volledig anoniem (en we hebben geen wachtwoorden ingevoerd, zoals zichtbaar op de screenshot) behoorlijk veel aanvullende informatie te verkrijgen, zoals het lokale wachtwoordbeleid, een lijst van lokale gebruikers, groepen en een lijst van gedeelde bronnen (shares):<\/i> Vaak op<\/p>\n

\"NetBIOS
\nlinux SMB linux SMB<\/i>-servers zijn er openbare shares die niet alleen voor lezen, maar zelfs voor schrijven toegankelijk zijn. De aanwezigheid van beide brengt verschillende bedreigingen met zich mee, waarvan het gebruik buiten het bestek van dit artikel valt.<\/p>\n

NetBIOS<\/i> het stelt ook in staat om de namen van alle typen te verkrijgen die de werkstation opslaat:<\/p>\n

\"NetBIOS
\n
\nin dit geval maakt het mogelijk om te achterhalen dat de host ook een domeincontroller is ARRIVA<\/i>.<\/p>\n

Daarnaast is het ook belangrijk om op te merken dat NetBIOS<\/i> het maakt mogelijk om te verkrijgen mac<\/i>-adres. In tegenstelling tot arp-verzoeken kunnen NetBIOS-verzoeken de subnetten overschrijden. Dit kan nuttig zijn als je bijvoorbeeld een laptop of specifieke hardware in het netwerk wilt vinden, wetende wie de fabrikant is. Aangezien de eerste drie octetten mac<\/i>-adressen de fabrikant identificeren, kan men door dergelijke NetBIOS<\/i>-verzoeken naar alle bekende subnetten te verzenden proberen het gewenste apparaat te vinden (http:\/\/standards-oui.ieee.org\/oui.txt).<\/p>\n

Bepalen van de toebehorigheid aan een domein.<\/a><\/b>
\nVaak is het bij het navigeren door interne bedrijfsnetwerken nodig om juist de werkstation aan te vallen die is opgenomen in het domein (bijvoorbeeld om de privileges te verhogen tot dat van domeinbeheerder) of omgekeerd. In dit geval NetBIOS<\/i> kan opnieuw helpen:<\/p>\n

\"NetBIOS
\n
\nIn dit geval zijn met behulp van NetBIOS<\/i> alle namen van alle typen verkregen. Onder hen zijn ook de naam van de pc (die eerder is verkregen), evenals de naam van de werkgroep te zien. Standaard is dit voor windows<\/i> meestal iets als WORKGROUP<\/i> of IVAN-PC<\/i>, maar als de werkstation in een domein zit, dan is de werkgroep de naam van het domein.
\nZo kan met behulp van NetBIOS<\/i> gebeurd kan worden of de werkstation deel uitmaakt van een domein, en zo ja, in welk domein.
\nAls het nodig is om een lijst van domeinhosten binnen het subnet te verkrijgen, volstaat \u00e9\u00e9n broadcastverzoek met de naam van het gewenste domein:<\/p>\n

\"NetBIOS
\n
\nals resultaat zullen alle hosts die tot dit domein behoren antwoorden.<\/p>\n

Detectie van multihomed hosts<\/b>
\nEn tenslotte, nog een waarschijnlijk zeer weinig bekende techniek die gewoon onmisbaar is voor het vinden van paden<\/i> in beveiligde, mogelijk zelfs fysiek ge\u00efsoleerde netwerken. Dit kunnen fabrieksnetwerken zijn die vol zitten met controllers. Toegang tot dit netwerk voor een aanvaller staat gelijk aan de mogelijkheid om invloed uit te oefenen op het technologieproces, en voor het bedrijf is er een risico om enorme verliezen te lijden.
\nDus, het probleem is dat zelfs als het netwerk is ge\u00efsoleerd van het bedrijfsnetwerk, sommige beheerders, hetzij uit luiheid, hetzij om een andere reden, graag een extra netwerkkaart op hun pc's opzetten voor toegang tot dit netwerk. Dit gebeurt natuurlijk vaak in strijd met de regels van de bedrijfsfirewalls. Handig, ja, maar niet al te veilig; als je wordt gehackt, word je een brug naar dat netwerk en ben je verantwoordelijk.
\nVoor de aanvaller is er echter \u00e9\u00e9n probleem: het vinden van die specifieke beheerder die op deze illegale manier verbinding heeft gemaakt met het beveiligde netwerk. Bovendien is dit geen gemakkelijke opgave voor de netwerkbeveiligers zelf. In grote organisaties is dit echt een complexe taak, als het vinden van een speld in een hooiberg.
\nIn deze situatie zijn er twee voor de hand liggende opties voor de aanvaller:
\n1. Proberen elk pc in de bedrijfs-subnet als een gateway naar het vereiste netwerk te gebruiken. Dit zou zeer handig zijn, maar komt zelden voor, omdat op windows<\/i> hosts IP-forwarding<\/i> bijna altijd is uitgeschakeld. Bovendien is een dergelijke controle alleen mogelijk binnen de eigen subnet en vereist het dat de aanvaller het doeladres in het ge\u00efsoleerde netwerk precies kent.
\n2. Proberen op afstand in te loggen op elke host en de eenvoudige opdracht ipconfig\/ifconfig<\/i>uit te voeren. En hier is het niet zo eenvoudig. Zelfs als de aanvaller de rechten van een domeinbeheerder heeft, blijven netwerkfirewalls en lokale firewalls een probleem. Dus deze taak kan niet 100% worden geautomatiseerd. Het resultaat is dat je geduldig op elke host moet inloggen, terwijl je de firewalls overwint (die vaak specifiek poort 445\/tcp blokkeren), in de hoop eindelijk de gewenste netwerkinterface te zien.<\/p>\n

Echter, het is veel eenvoudiger. Er is een extreem eenvoudige techniek die het mogelijk maakt om van een bepaalde host een lijst met netwerkinterfaces te krijgen. Stel dat we een bepaalde host hebben:<\/p>\n

\"NetBIOS
\n
\ndit is de omgekeerde resolutie ip-adres \u2192 netwerknaam. Als we nu proberen de directe resolutie netwerknaam \u2192 ip-adres te maken:<\/p>\n

\"NetBIOS
\n
\ndan ontdekken we dat deze host ook een gateway is (blijkbaar) naar een ander netwerk. Het is vermeldenswaard dat de aanvraag in dit geval broadcast was. Met andere woorden, alleen de hosts uit de subnet van de aanvaller zullen het horen.
\nAls de doelhost zich buiten het subnet bevindt, kan er een gerichte aanvraag worden verzonden:<\/p>\n

\"NetBIOS
\n
\nIn dit geval is het duidelijk dat het doel zich buiten het subnet van de aanvaller bevindt. Met de key -B werd aangegeven dat het verzoek naar een specifiek adres en niet naar een broadcast moest worden gestuurd.
\nNu moet je alleen nog even snel informatie verzamelen van het hele interessante subnet en niet van \u00e9\u00e9n adres. Hiervoor kan een kleine python<\/i>-script worden gebruikt:<\/p>\n

\"NetBIOS
\n
\nEn na een paar seconden:<\/p>\n

\"NetBIOS
\n
\nDe specifieke host zou in dit ge\u00efmproviseerde geval de eerste doelwit van de aanvaller zijn geworden, als hij het netwerk 172.16.1\/24 zou hebben aangevallen.<\/p>\n

\"NetBIOS
\n
\nHerhaalde namen op verschillende IP's wijzen erop dat de host ook twee netwerkkaarten heeft, maar binnen hetzelfde subnet. Het is belangrijk op te merken dat NetBIOS<\/i> niet onthult beheer van afbeeldingsaliassen<\/i>-en (die gemakkelijk te berekenen zijn via arp-verzoeken als ip met dezelfde mac<\/i>). In dit geval IP-adressen<\/a> verschillende mac<\/i>.<\/p>\n

Een ander voorbeeld van het gebruik van deze techniek is openbare Wi-Fi. Soms kom je situaties tegen waarin personeel dat werkt in een afgeschermd bedrijfssubnet zich aansluit op een openbare netwerkomgeving. Dan kan de aanvaller met behulp van deze verkenningstechniek heel snel een pad uitstippelen om toegang te krijgen tot het afgeschermde netwerk:<\/p>\n

\"NetBIOS
\n
\nIn dit geval waren er onder de 65 klanten op de openbare Wi-Fi twee werkstations met een extra interface, waarschijnlijk behorend tot het bedrijfsnetwerk.<\/p>\n

Als er soms verkeersfiltering op poort 445\/tcp tussen netwerksegmenten of zelfs op werkstations plaatsvindt, wat de externe toegang tot het systeem (externe uitvoering van code) verhindert, dan wordt in dit geval poort 137\/udp gebruikt voor naam resolution, waarvan bewuste blokkering bijna nooit voorkomt, omdat het gebruiksgemak op het netwerk er ernstig onder zou lijden, bijvoorbeeld zou netwerkomgeving kunnen verdwijnen, enz. NetBIOS<\/i> Zoals ze zeggen,<\/p>\n

enumeratie is de sleutel Is er bescherming tegen dit? Die is er niet, want dit is ook geen kwetsbaarheid in die zin. Het is slechts de standaardfunctionaliteit van hetgeen er standaard is bij<\/i>
\nhet gedrag is iets anders). En als je, toevallig en in strijd met de regels van netwerkroutering, je in een afgeschermd segment hebt ingeschakeld, dan zal de aanvaller je zeker vinden en dat heel snel doen. windows<\/i> (in linux<\/i> Het gedrag verschilt een beetje). En als je, toevallig, ongeco\u00f6rdineerd buiten de netwerkrouteregels in een afgesloten segment bent ingeschakeld, zal de aanvaller je zeker vinden en dat heel snel doen.
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS. \u041a\u0430\u043a\u0443\u044e \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0434\u043b\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\/\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u044b\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c \u0438\u0437\u0432\u043d\u0435 \u0441\u0435\u0442\u044f\u043c. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0442\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0443 \u043b\u044e\u0431\u043e\u0439 \u0434\u0430\u0436\u0435 \u0443 \u0441\u0430\u043c\u043e\u0439 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0421\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-30258","post","type-post","status-publish","format-standard","hentry","category-blog"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NetBIOS in de handen van een hacker | ProHoster","description":"In dit artikel wordt een kort verhaal gepresenteerd over wat zo'n schijnbaar gewone zaak als NetBIOS ons kan vertellen.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/netbios-v-rukah-hakera","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47NetBIOS \u0432 \u0440\u0443\u043a\u0430\u0445 \u0445\u0430\u043a\u0435\u0440\u0430 | ProHoster","og:description":"\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS.","og:url":"https:\/\/prohoster.info\/nl\/blog\/netbios-v-rukah-hakera","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:32+00:00","article:modified_time":"2019-10-31T18:34:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30258","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 15:53:47","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:38:39","updated":"2026-02-09 15:53:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/30258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=30258"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/30258\/revisions"}],"predecessor-version":[{"id":158465,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/30258\/revisions\/158465"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=30258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=30258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=30258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}