{"id":30258,"date":"2019-10-31T21:34:32","date_gmt":"2019-10-31T18:34:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/netbios-v-rukah-hakera\/"},"modified":"2019-10-31T21:34:32","modified_gmt":"2019-10-31T18:34:32","slug":"netbios-v-rukah-hakera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/netbios-v-rukah-hakera","title":{"rendered":"NetBIOS i hendene p\u00e5 en hacker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I denne artikkelen vil vi ha en kort fortelling om hva noe s\u00e5 vanlig ut som NetBIOS<\/i>. Hvilken informasjon den kan gi en potensiell inntrenger\/pentester.<\/a><\/noindex><\/p>\n

Det demonstrerte bruksomr\u00e5det for etterretningsmetoder gjelder interne, det vil si isolerte og utilgjengelige nettverk. Slike nettverk finnes som regel hos enhver, selv den minste bedrift.<\/p>\n

I seg selv NetBIOS<\/i> brukes vanligvis til \u00e5 skaffe nettverksnavn. Og dette skal v\u00e6re tilstrekkelig for \u00e5 gj\u00f8re minst 4 ting.<\/p>\n

Oppdagelse av verter<\/b>
\nTakket v\u00e6re at NetBIOS kan bruke UDP som transport, tillater hastigheten av det \u00e5 oppdage verter i sv\u00e6rt store nettverk. For eksempel kan verkt\u00f8yet nbtscan<\/i>, som er en del av det samme navnet pakken, p\u00e5 bare 2 sekunder (kan legge nettverket) oppl\u00f8se adresser i nettverket som 192.168.0.0\/16, mens tradisjonell TCP-skanning vil ta titalls minutter. Denne egenskapen kan brukes som en teknikk for vertoppdagelse (host sweep) i sv\u00e6rt store nettverk, hvor vi ikke vet noe om dem, f\u00f8r vi kj\u00f8rer nmap. Selv om resultatet ikke garanterer 100% oppdagelse, da det hovedsakelig er Windows-verter som vil svare og ikke alle, vil det likevel tillate \u00e5 bestemme omtrent hvilke omr\u00e5der som inneholder levende verter.<\/p>\n

Identifikasjon av verter<\/b>
\nVed \u00e5 bruke resultatene for \u00e5 hente navn fra IP-adresser:<\/p>\n

\"NetBIOS
\n
\nkan vi se: bortsett fra at navnet avsl\u00f8rer eieren av arbeidsstasjonen (selv om dette for \u00f8vrig ikke alltid er tilfelle), er en av adressene tydelig fremhevet i forhold til de andre. Vi kan se at navnet KALI<\/i>. Denne oppf\u00f8rselen er vanligvis karakteristisk for unix<\/i>-implementeringen SMB\/NetBIOS<\/i> som en del av programvarepakken samba<\/i> eller veldig gamle Windows 2000<\/i>.
\nHente navn KALI<\/i>, mens p\u00e5 andre verter viser <unknown<\/i>> til tilstedev\u00e6relsen av det s\u00e5kalte null-session<\/i>. Med standardinnstillingene SMB<\/i>-servere er Linux<\/i> utsatt for det. Null-session<\/i> lar oss helt anonymt (uten at vi har skrevet inn noen passord, som vist p\u00e5 skjermbildet) f\u00e5 ganske mye ekstra informasjon, som lokal passordpolitikk, liste over lokale brukere, grupper og liste over delte ressurser (shares):<\/p>\n

\"NetBIOS
\nOfte p\u00e5 linux SMB<\/i>-server kan ha offentlige delinger ikke bare for lesing, men ogs\u00e5 for skriving. B\u00e5de det ene og det andre medf\u00f8rer ulike trusler, bruken av dem overskrider rammene for denne artikkelen.<\/p>\n

NetBIOS<\/i> det tillater ogs\u00e5 \u00e5 f\u00e5 navnene p\u00e5 alle typer som arbeidsstasjonen lagrer:<\/p>\n

\"NetBIOS
\n
\ni dette tilfellet tillater det \u00e5 finne ut at verten ogs\u00e5 er en domenekontroller ARRIVA<\/i>.<\/p>\n

Det er ogs\u00e5 verdt \u00e5 merke seg at NetBIOS<\/i> det gj\u00f8r det mulig \u00e5 f\u00e5 mac<\/i>-adresse. I motsetning til arp-foresp\u00f8rslene kan NetBIOS-foresp\u00f8rslene g\u00e5 utover subnettet. Dette kan v\u00e6re nyttig dersom man for eksempel trenger \u00e5 finne en laptop eller spesifikk maskinvare i nettverket, og vet produsenten. Siden de f\u00f8rste tre oktetene mac<\/i>-adressene identifiserer produsenten, kan man via slike NetBIOS<\/i>-foresp\u00f8rsel til alle kjente subnett fors\u00f8ke \u00e5 finne den n\u00f8dvendige enheten (http:\/\/standards-oui.ieee.org\/oui.txt).<\/p>\n

Bestemmelse av tilknytning til the domain<\/a><\/b>
\nOfte, n\u00e5r man navigerer i interne bedriftsnettverk, er det n\u00f8dvendig \u00e5 angripe nettopp arbeidsstasjonen som er inkludert i domenet (for eksempel for \u00e5 heve privilegiene til domenadministratorens niv\u00e5), eller omvendt. I dette tilfellet NetBIOS<\/i> kan igjen hjelpe:<\/p>\n

\"NetBIOS
\n
\nI dette tilfellet ble det ved hjelp av NetBIOS<\/i> hentet alle navnene p\u00e5 alle typer. Blant dem kan man se, i tillegg til datamaskinens navn (det som allerede ble hentet tidligere), ogs\u00e5 navnet p\u00e5 arbeidsgruppen. Som standard er det som regel noe slikt som windows<\/i> WORKGROUP IVAN-PC<\/i> eller , men hvis arbeidsstasjonen er i et domene, s\u00e5 er arbeidsgruppen dens navn som er domenet.<\/i>Dermed kan man ved hjelp av
\nf\u00e5 vite om arbeidsstasjonen er i et domene, og i s\u00e5 fall, hvilket. NetBIOS<\/i> Hvis man derimot \u00f8nsker \u00e5 f\u00e5 en liste over domeneverter innenfor subnettet, s\u00e5 holder det med en broadcast-foresp\u00f8rsel med navnet p\u00e5 det n\u00f8dvendige domenet:
\nsom et resultat vil alle verter som er en del av dette domenet svare.<\/p>\n

\"NetBIOS
\n
\nOppdagelse av multihomede verter<\/p>\n

Og til slutt en kanskje veldig lite kjent teknikk, som er helt uunnv\u00e6rlig for<\/b>
\n\u00e5 finne veier til beskyttede, muligens fysisk isolerte nettverk. Dette kan v\u00e6re produksjonsnettverk i bedrifter, fylt med kontrollere. Tilgang til dette nettverket for en angriper betyr muligheten til \u00e5 p\u00e5virke den teknologiske prosessen, og for bedriften er det en risiko for kolossale tap.<\/i> i beskyttede, muligens til og med fysisk isolerte nettverk. Dette kan v\u00e6re bedriftsnettverk fylt med kontrollere. Tilgang til dette nettet for en angriper betyr muligheten til \u00e5 p\u00e5virke den teknologiske prosessen, og for bedriften er det en risiko for \u00e5 lide enorme tap.
\nS\u00e5, essensen er at selv om nettverket er isolert fra det bedriftsnettverket, liker noen administratorer, enten av latskap eller p\u00e5 en annen m\u00e5te, \u00e5 aktivere et ekstra nettverkskort p\u00e5 datamaskinene sine for \u00e5 f\u00e5 tilgang til dette nettverket. Dette skjer naturligvis i strid med alle slags regler for bedriftsbrannmurer. Praktisk, ja, men ikke spesielt sikkert; hvis du blir hacket, kan du bli en bro til dette nettverket og f\u00e5 ansvar.
\nMen for en angriper finnes det et problem \u2014 \u00e5 finne den spesifikke administratoren som har koblet til det beskyttede nettverket p\u00e5 en ulovlig m\u00e5te. Dessuten er dette et komplisert problem ogs\u00e5 for nettverks sikkerhetsfolkene. I store selskaper er dette virkelig en vanskelig oppgave, som \u00e5 finne en n\u00e5l i en h\u00f8ystakk.
\nI denne situasjonen ville det \u00e5penbare alternativet for angriperen v\u00e6re to:
\n1. \u00e5 pr\u00f8ve \u00e5 bruke hver PC i bedrifts-subnettet som en portal til det \u00f8nskede nettverket. Dette ville v\u00e6rt sv\u00e6rt praktisk, men er sjelden \u00e5 se, fordi p\u00e5 windows<\/i> verter ip forwarding<\/i> er nesten alltid deaktivert. Videre er en slik sjekk kun mulig innen sitt eget subnett, og det krever at angriperen vet den n\u00f8yaktige m\u00e5ladressen fra det isolerte nettverket.
\n2. \u00e5 pr\u00f8ve \u00e5 logge inn p\u00e5 hver vert eksternt og kj\u00f8re den enkle kommandoen ipconfig\/ifconfig<\/i>. Og her er det ikke s\u00e5 enkelt. Selv om angriperen har skaffet seg rettighetene til domeneadministratoren, skjer dette ikke uten nettverksbrannmurer og lokale brannmurer. S\u00e5 denne oppgaven kan ikke automatiseres 100%. Som et resultat m\u00e5 man slite med \u00e5 logge inn p\u00e5 hver vert, overvinne nettverksbrannmurene (som ofte blokkerer port 445\/tcp), i h\u00e5p om \u00e5 se det ettertraktede nettverksgrensesnittet.<\/p>\n

Men det er faktisk mye enklere. Det eksisterer en ekstremt enkel teknikk som lar deg hente listen over nettverksgrensesnitt fra en vert. La oss anta at vi har en viss vert:<\/p>\n

\"NetBIOS
\n
\ndette er reverseresolve ip-adressen \u2192 nettverksnavn. Hvis vi n\u00e5 pr\u00f8ver \u00e5 gj\u00f8re en direkte resolusjon nettverksnavn \u2192 ip-adresse:<\/p>\n

\"NetBIOS
\n
\nda vil vi finne ut at denne verten ogs\u00e5 er en gateway (trolig) til et annet nettverk. Det er verdt \u00e5 merke seg at foresp\u00f8rselen i dette tilfellet ble sendt som en Broadcast. Med andre ord, bare verter fra angriperens subnett vil h\u00f8re den.
\nHvis m\u00e5lhosten er utenfor subnettet, kan man sende en m\u00e5lrettet foresp\u00f8rsel:<\/p>\n

\"NetBIOS
\n
\nI dette tilfellet er det klart at m\u00e5let er utenfor angriperen sitt subnett. Ved hjelp av n\u00f8kkelen -B ble det spesifisert at foresp\u00f8rselen skal sendes til en spesifikk adresse, ikke til en kringkastingsadresse.
\nN\u00e5 er det bare \u00e5 raskt samle informasjon fra hele det interessante subnettet, ikke bare fra \u00e9n adresse. For dette kan man bruke et lite python<\/i>-skript:<\/p>\n

\"NetBIOS
\n
\nOg etter noen sekunder:<\/p>\n

\"NetBIOS
\n
\nDen dedikerte verten, i dette improviserte tilfellet, ville blitt det f\u00f8rste m\u00e5let for angriperen hvis han hadde m\u00e5lrettet nettverket 172.16.1\/24.<\/p>\n

\"NetBIOS
\n
\nGjentar navn p\u00e5 forskjellige IP-er tyder p\u00e5 at verten ogs\u00e5 har to nettverkskort, men allerede i ett subnett. Her b\u00f8r det bemerkes at NetBIOS<\/i> ikke avsl\u00f8rer alias<\/i>-er (som lett kan beregnes gjennom arp-foresp\u00f8rsel som ip med like mac<\/i>). I dette tilfellet ip-adressen<\/a> har forskjellige mac<\/i>.<\/p>\n

Et annet eksempel p\u00e5 bruken av denne teknikken er offentlig Wi-Fi. Noen ganger kan man st\u00f8te p\u00e5 en situasjon der personalet som jobber i et lukket bedriftssegment, kobler seg til det offentlige nettverket blant gjestene. Da kan angriperen, ved hjelp av denne etterretningsmetoden, raskt kartlegge en vei inn i det lukkede nettverket:<\/p>\n

\"NetBIOS
\n
\nI dette tilfellet var det blant 65 kunder av det offentlige Wi-Fi to arbeidsstasjoner, som har et ekstra grensesnitt, sannsynligvis relatert til bedriftsnettverket.<\/p>\n

Hvis det noen ganger observeres filter for trafikk p\u00e5 port 445\/tcp mellom nettverkssegmenter eller direkte p\u00e5 arbeidsstasjonene, noe som hindrer ekstern tilgang til systemet (ekstern kj\u00f8ring av kode), s\u00e5 brukes port 137\/udp til navngivning i dette tilfellet, og bevisst blokkering av den forekommer sjelden, da det vil forringe brukervennligheten i nettverket, for eksempel kan det nettverksmilj\u00f8et forsvinne osv. NetBIOS<\/i> Som det sies,<\/p>\n

enumeration is the key Finnes det beskyttelse mot dette? Det gj\u00f8r det ikke, da dette ikke er en s\u00e5rbarhet i seg selv. Det er bare en standardfunksjon av det som er litt av det som finnes som standard hos<\/i>
\noppf\u00f8rselen er litt forskjellig). Og hvis du, ved en tilfeldighet, uten \u00e5 f\u00f8lge reglene for nettverksruting har koblet deg til et lukket segment, s\u00e5 vil angriperen garantert finne deg og gj\u00f8re det veldig raskt. windows<\/i> (i Linux<\/i> atferden er litt annerledes). Og hvis du, ved en tilfeldighet, uten \u00e5 f\u00f8lge reglene for nettverksruting, kobler deg til et lukket segment, vil angriperen n\u00f8dvendigvis finne deg og gj\u00f8re det veldig raskt.
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS. \u041a\u0430\u043a\u0443\u044e \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0434\u043b\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\/\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u044b\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c \u0438\u0437\u0432\u043d\u0435 \u0441\u0435\u0442\u044f\u043c. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0442\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0443 \u043b\u044e\u0431\u043e\u0439 \u0434\u0430\u0436\u0435 \u0443 \u0441\u0430\u043c\u043e\u0439 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0421\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-30258","post","type-post","status-publish","format-standard","hentry","category-blog"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NetBIOS i hendene p\u00e5 en hacker | ProHoster","description":"I denne artikkelen vil det bli gitt en kort fortelling om hva en s\u00e5 tilsynelatende vanlig ting som NetBIOS kan l\u00e6re oss.","canonical_url":"https:\/\/prohoster.info\/no\/blog\/netbios-v-rukah-hakera","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nn_NO","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47NetBIOS \u0432 \u0440\u0443\u043a\u0430\u0445 \u0445\u0430\u043a\u0435\u0440\u0430 | ProHoster","og:description":"\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS.","og:url":"https:\/\/prohoster.info\/no\/blog\/netbios-v-rukah-hakera","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:32+00:00","article:modified_time":"2019-10-31T18:34:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30258","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 15:53:47","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:38:39","updated":"2026-02-09 15:53:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts\/30258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/comments?post=30258"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts\/30258\/revisions"}],"predecessor-version":[{"id":158465,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts\/30258\/revisions\/158465"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/media?parent=30258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/categories?post=30258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/tags?post=30258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}