{"id":30258,"date":"2019-10-31T21:34:32","date_gmt":"2019-10-31T18:34:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/netbios-v-rukah-hakera\/"},"modified":"2019-10-31T21:34:32","modified_gmt":"2019-10-31T18:34:32","slug":"netbios-v-rukah-hakera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/netbios-v-rukah-hakera","title":{"rendered":"NetBIOS v rokah hekerja","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

V tem \u010dlanku bomo na kratko obravnavali, kaj nam lahko pove na videz obi\u010dajna stvar, kot je NetBIOS<\/i>. Kak\u0161ne informacije lahko zagotovi potencialnemu napadalcu\/pentesterju.<\/a><\/noindex><\/p>\n

Poka\u017eemo aplikacijo obve\u0161\u010devalnih tehnik, ki se nana\u0161a na notranje, torej izolirane in zunaj nedostopne omre\u017eja. Tak\u0161na omre\u017eja ima obi\u010dajno vsaka podjetje, tudi najmanj\u0161e.<\/p>\n

Samo po sebi NetBIOS<\/i> se obi\u010dajno uporablja za pridobivanje omre\u017enega imena. In to bo dovolj, da naredimo vsaj 4 stvari.<\/p>\n

Odkrivanje gostiteljev<\/b>
\nZaradi tega, da lahko NetBIOS uporablja UDP kot transport, njegova hitrost omogo\u010da odkrivanje gostiteljev v zelo velikih omre\u017ejih. Tako lahko na primer orodje nbtscan<\/i>, ki je del istoimenskega paketa, v samo 2 sekundah (lahko zaradi tega omre\u017eje pade) razre\u0161i naslove omre\u017eja v formatu 192.168.0.0\/16, medtem ko tradicionalno TCP skeniranje traja ure in ure. To zna\u010dilnost lahko uporabimo kot tehniko odkrivanja gostiteljev (host sweep) v zelo velikih omre\u017ejih, o katerih ni\u010d ne vemo, preden za\u017eenemo nmap. \u010ceprav rezultat ne zagotavlja 100 % odkrivanja, saj se ve\u010dinoma odzivajo le Windows gostitelji in ne vsi, vendar bo vseeno omogo\u010dil oceno, v katerih obmo\u010djih se nahajajo \u017eivi gostitelji.<\/p>\n

Identifikacija gostiteljev<\/b>
\nZ uporabo rezultatov pridobivanja imen iz IP naslovov:<\/p>\n

\"NetBIOS
\n
\nlahko vidimo: poleg tega, da ime razkrije lastnika delovne postaje (\u010deprav to seveda ne velja vedno), se ena od naslovov izrazito izstopa med drugimi. Vidimo, da je bilo pridobljeno ime KALI<\/i>. Tak\u0161no vedenje je obi\u010dajno za unix<\/i>-izvedbo SMB\/NetBIOS<\/i> v okviru programske opreme samba<\/i> ali zelo stari Windows 2000<\/i>.
\nPridobivanje imena KALI<\/i>, medtem ko na drugih gostiteljih ozna\u010duje <unknown<\/i>>, kar ka\u017ee na prisotnost tako imenovane null-session<\/i>. Pri privzetih nastavitvah SMB<\/i>-stre\u017eniki so linux<\/i> nagnjeni k temu. Null-session<\/i> lahko omogo\u010di popolnoma anonimno (kot je razvidno iz zaslona, nismo vnesli nobenih gesel) pridobivanje dokaj velike koli\u010dine dodatnih informacij, kot so lokalna pravila o geslih, seznam lokalnih uporabnikov, skupin in seznam deljenih virov (delitev):<\/p>\n

\"NetBIOS
\nPogosto na linux SMB<\/i>-stre\u017enikih obstajajo javno dostopni skupni viri, ne le za branje, temve\u010d tudi za zapis. Obavljanjem obeh prina\u0161a razli\u010dne gro\u017enje, katerih uporaba presega obseg tega \u010dlanka.<\/p>\n

NetBIOS<\/i> tudi omogo\u010da pridobitev imen vseh tipov, ki jih hrani delovna postaja:<\/p>\n

\"NetBIOS
\n
\nv tem primeru to omogo\u010da odkriti, da je gostitelj tudi nadzornik domene. ARRIVA<\/i>.<\/p>\n

Tudi dodatno je vredno opozoriti, da NetBIOS<\/i> omogo\u010da pridobitev mac<\/i>-naslova. Pri \u010demer v nasprotju z arp-vpra\u0161aji, NetBIOS-vpra\u0161anja lahko presegajo omejitev podomre\u017eja. To je lahko koristno, \u010de je na primer potrebno najti v omre\u017eju prenosni ra\u010dunalnik ali specifi\u010dno strojno opremo, poznajo\u010d njenega proizvajalca. Ker prvih tri oktete mac<\/i>-naslovi identificirajo proizvajalca, je mogo\u010de s po\u0161iljanjem takih NetBIOS<\/i>-vpra\u0161anj v vsa znana podomre\u017eja poskusiti najti \u017eeleno napravo (http:\/\/standards-oui.ieee.org\/oui.txt).<\/p>\n

Dolo\u010ditev pripadnosti domeno<\/a><\/b>
\nPogosto pri premikanju po notranjih korporativnih omre\u017ejih zahteva napad na delovno postajo, vklju\u010deno v domeno (na primer za dvig privilegijev na raven domen\u0161kega skrbnika) ali obratno. V tem primeru NetBIOS<\/i> spet lahko pomaga:<\/p>\n

\"NetBIOS
\n
\nV tem primeru je s pomo\u010djo NetBIOS<\/i> bilo pridobljenih vseh imen vseh tipov. Med njimi je mogo\u010de videti, poleg imena PC (kar je bilo \u017ee prej pridobljeno), tudi ime delovne skupine. Po privzetku je za windows<\/i> navadno nekaj takega kot WORKGROUP<\/i> ili IVAN-PC<\/i>, toda \u010de je delovna postaja v domeni, je njena delovna skupina ime domene.
\nTako je s pomo\u010djo NetBIOS<\/i> mogo\u010de ugotoviti, ali je delovna postaja v domeni in, \u010de je, v kateri.
\n\u010ce pa je potrebno pridobiti seznam domen\u0161kih gostiteljev v okviru podomre\u017eja, zadostuje en \u0161irokopasovni zahtevek z imenom potrebne domene:<\/p>\n

\"NetBIOS
\n
\nv rezultatu bodo odgovorili vsi gostitelji, ki so del te domene.<\/p>\n

Odkritje multihomed gostiteljev<\/b>
\nIn kon\u010dno \u0161e ena morda zelo malo znana tehnika, ki je preprosto nepogre\u0161ljiva za najdbo poti<\/i> v za\u0161\u010ditena, morda celo fizi\u010dno izolirana omre\u017eja. To lahko vklju\u010duje delovne omre\u017eja podjetij, napolnjene s krmilniki. Dostop do tega omre\u017eja za napadalca pomeni mo\u017enost vplivanja na tehnolo\u0161ki postopek, za podjetje pa tveganje za ogromne izgube.
\nTorej, bistvo je, da tudi \u010de je omre\u017eje izolirano iz korporativnega omre\u017eja, mnogi skrbniki, bodisi zaradi lenobe ali iz drugih razlogov, radi aktivirajo \u0161e eno omre\u017eno kartico na svojih ra\u010dunalnikih za dostop do tega omre\u017eja. Vse to se seveda dogaja mimo pravil korporativnih omre\u017enih po\u017earnih zidov. Prijetno, ja, a ne ravno varno; \u010de vas hekerji napadejo, postanete most v to omre\u017eje in prevzamete odgovornost.
\nVendar pa ima zlonamerne\u017e tu eno te\u017eavo - najti tistega skrbnika, ki se je na nezakonit na\u010din povezal z za\u0161\u010ditenim omre\u017ejem. Bolj \u0161e, to je zapleten problem tudi za omre\u017ene varnostne strokovnjake. V velikih podjetjih je to resni\u010dno zahtevna naloga, kot iskati iglo v senu.
\nV tej situaciji bi imela zlonamerne\u017e o\u010ditno dve mo\u017enosti:
\n1. poskusiti uporabiti vsak ra\u010dunalnik v korporativni podmre\u017ei kot prehod do ciljnega omre\u017eja. To bi bilo zelo priro\u010dno, vendar se to redko zgodi, saj na windows<\/i> stre\u017enikih ip forwarding<\/i> je skoraj vedno onemogo\u010den. Poleg tega je tak\u0161na preveritev mogo\u010da le znotraj svoje podmre\u017ee, prav tako pa zahtevati, da zlonamerne\u017e natan\u010dno pozna ciljnih naslov iz izoliranega omre\u017eja.
\n2. poskusiti oddaljeno stopiti v vsak gostitelj in izvesti preprosto ukaz ipconfig\/ifconfig<\/i>. In tukaj zadeva ni tako enostavna. Tudi \u010de je zlonamerne\u017e pridobil pravice domenetnega skrbnika, pa po\u017earni zidovi in lokalni po\u017earni zidovi ostajajo. Tako naloga ni 100% avtomatizirana. Zaradi tega ostane mu\u010dno prihajati do vsakega gostiteljskega ra\u010dunalnika, premagovati po\u017earne zidove (ki pogosto blokirajo prav 445\/tcp vrata) v upanju, da bodo kon\u010dno zagledali \u017eeleni omre\u017eni vmesnik.<\/p>\n

Vendar je vse precej enostavnej\u0161e. Obstaja izjemno preprosta tehnika, ki omogo\u010da pridobitev seznama omre\u017enih vmesnikov iz dolo\u010denega gostitelja. Recimo, da imamo nek gostitelj:<\/p>\n

\"NetBIOS
\n
\nto je obratna resolucija ip-naslov \u2192 omre\u017eno ime. \u010ce zdaj poskusimo narediti neposredno resolucijo omre\u017eno ime \u2192 ip-naslov:<\/p>\n

\"NetBIOS
\n
\nbomo ugotovili, da je ta gostitelj tudi prehod (zdi se) v nekem drugem omre\u017eju. Poudariti je treba, da je v tem primeru poizvedba potekala obse\u017eno. Z drugimi besedami, sli\u0161ali ga bodo gostitelji le iz podmre\u017ee zlonamerne\u017ea.
\n\u010ce je ciljna gostiteljska naprava izven podomre\u017eja, lahko po\u0161ljemo ciljno poizvedbo:<\/p>\n

\"NetBIOS
\n
\nV tem primeru je jasno, da se cilj nahaja izven podomre\u017eja napadalca. S klju\u010dem -B je bilo dolo\u010deno, da je treba poizvedbo poslati na konkretni naslov, ne na \u0161irok naslov.
\nZdaj nam preostane le \u0161e hitro zbrati informacije iz celotnega zanimivega podomre\u017eja, ne pa iz enega samo naslova. Za to lahko uporabimo majhen python<\/i>-skript:<\/p>\n

\"NetBIOS
\n
\nIn v nekaj sekundah:<\/p>\n

\"NetBIOS
\n
\nSpecifi\u010dna gostiteljska naprava bi v tem improviziranem primeru postala prva tar\u010da napadalca, \u010de bi ta ciljal na omre\u017eje 172.16.1\/24.<\/p>\n

\"NetBIOS
\n
\nPonovljena imena na razli\u010dnih IP-jih ka\u017eejo, da ima gostitelj tudi dve omre\u017eni kartici, a v istem podomre\u017eju. Tukaj je pomembno poudariti, da NetBIOS<\/i> ne razkriva alias<\/i>-ov (ki jih je mogo\u010de zlahka izra\u010dunati preko ARP poizvedb kot IP z enakim mac<\/i>). V tem primeru IP-naslov<\/a> imajo razli\u010dne mac<\/i>.<\/p>\n

Drugi primer uporabe te tehnike je javni Wi-Fi. V\u010dasih lahko naletimo na situacijo, kjer se med gostinskimi napravami, ki so povezane na javno omre\u017eje, priklju\u010dijo zaposleni, ki delajo v zaprtem podjetni\u0161kem segmentu. Takrat lahko napadalec s to obve\u0161\u010devalsko tehniko zelo hitro dolo\u010di svojo pot za vstop v zaprto omre\u017eje:<\/p>\n

\"NetBIOS
\n
\nV tem primeru je med 65 strankami javnega Wi-Fi-a bilo ugotovljenih dve delovni postaji, ki imata dodatni vmesnik, verjetno povezan s podjetni\u0161kim omre\u017ejem.<\/p>\n

\u010ce med omre\u017enimi segmenti ali neposredno na delovnih postajah opazimo filtriranje prometa na 445\/tcp vratih, kar prepre\u010duje oddaljen dostop do sistema (oddano izvajanje kode), pa se v tem primeru za razre\u0161evanje imen uporablja NetBIOS<\/i> 137\/udp vrata, katerega namenoma blokiranje se skoraj nikoli ne sre\u010duje, saj bi to mo\u010dno vplivalo na udobje dela v omre\u017eju, na primer, bi lahko izginilo omre\u017eno okolje itd.<\/p>\n

Kot pravijo, enumeracija je klju\u010d<\/i>
\nAli obstaja za\u0161\u010dita pred tem? Ni je, saj to ni ranljivost v svojem bistvu. To je le standardna funkcionalnost tistega, kar je privzeto na voljo pri windows<\/i> (v linux<\/i> se vedenje nekoliko razlikuje). \u010ce se nenadoma, brez dogovora, vklju\u010dite v zaprt segment, vas bo napadalec zagotovo na\u0161el in to zelo hitro.
\n
Izvor: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS. \u041a\u0430\u043a\u0443\u044e \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0434\u043b\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\/\u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u044b\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u0438 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c \u0438\u0437\u0432\u043d\u0435 \u0441\u0435\u0442\u044f\u043c. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0442\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0443 \u043b\u044e\u0431\u043e\u0439 \u0434\u0430\u0436\u0435 \u0443 \u0441\u0430\u043c\u043e\u0439 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u0421\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[],"class_list":["post-30258","post","type-post","status-publish","format-standard","hentry","category-blog"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NetBIOS v rokah hekerja | ProHoster","description":"V tem \u010dlanku bomo na kratko predstavili, kar nam lahko pove na videz tako obi\u010dajna stvar, kot je NetBIOS.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/netbios-v-rukah-hakera","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47NetBIOS \u0432 \u0440\u0443\u043a\u0430\u0445 \u0445\u0430\u043a\u0435\u0440\u0430 | ProHoster","og:description":"\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u043e\u0439\u0434\u0451\u0442 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0430\u044f \u0441 \u0432\u0438\u0434\u0443 \u0432\u0435\u0449\u044c \u043a\u0430\u043a NetBIOS.","og:url":"https:\/\/prohoster.info\/sl\/blog\/netbios-v-rukah-hakera","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:32+00:00","article:modified_time":"2019-10-31T18:34:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30258","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 15:53:47","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:38:39","updated":"2026-02-09 15:53:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/30258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=30258"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/30258\/revisions"}],"predecessor-version":[{"id":158465,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/30258\/revisions\/158465"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=30258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=30258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=30258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}