搜索

[9329] 2015-09-10_BlackHat黑帽大会议题：SMB不只是共享你的文件

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2015-09-10_BlackHat黑帽大会议题：SMB不只是共享你的文件 B l a c k H a t 黑 帽 大 会 议 题 ：   S M B 不 只 是 共 享 你 的 文 件 F r e e B u f   2 0 1 5 - 0 9 - 1 0 在 本 文 中 ， 我 们 展 示 了 一 种 新 的 攻 击 方 法 破 解 在 本 文 中 ， 我 们 展 示 了 一 种 新 的 攻 击 方 法 破 解 W i n d o w s 的 的 S S O （ （ S i n g l e   S i g n   O n ） 特 性 ， 影 响 了 ） 特 性 ， 影 响 了 W i n d o w s 的 所 有 版 本 包 的 所 有 版 本 包 括 最 新 的 括 最 新 的 w i n 1 0   微 软 的 微 软 的 S M B （ （ S e r v e r   M e s s a g e   B l o c k ） 协 议 ， 内 网 攻 击 ） 协 议 ， 内 网 攻 击 S M B 技 术 已 经 出 现 很 久 了 ， 这 种 新 型 的 攻 击 延 技 术 已 经 出 现 很 久 了 ， 这 种 新 型 的 攻 击 延 伸 到 了 外 网 。 伸 到 了 外 网 。 这 项 技 术 被 广 泛 认 为 是 首 个 涉 及 w i n 1 0 和 其 浏 览 器 S p a r t a n 的 攻 击 。 0 x 0 1   背 景 介 绍 背 景 介 绍 S M B 按 理 说 应 该 是 在 内 网 中 相 当 可 信 的 网 络 协 议 ， 它 是 内 网 渗 透 测 试 的 一 部 分 ， 经 常 被 假 设 攻 击 来 自 外 网 ， 然 而 并 不 是 这 样 。 本 文 首 次 探 求 了 外 网 发 起 攻 击 的 可 能 性 ， 这 自 然 就 需 要 一 个 可 靠 通 杀 各 版 本 w i n d o w 浏 览 器 的 利 用 代 码 ， 进 一 步 展 望 此 类 攻 击 ， 穿 过 浏 览 器 延 伸 到 用 户 ， 并 利 用 已 有 的 影 响 修 改 顽 固 的 网 络 配 置 。 0 x 0 2   S M B 的 小 历 史 的 小 历 史   S M B 协 议 是 一 个 网 络 文 件 共 享 协 议 ， 基 于 N e t B I O S ， T C P / I P 和 I P X / S P X 。 最 初 由 I B M 在 1 9 8 4 年 设 计 ， 如 今 在 网 络 中 随 处 可 见 。 我 们 只 专 注 于 微 软 实 行 的 协 议 — — 有 很 多 复 杂 且 特 殊 的 扩 展 默 认 在 自 W i n d o w   N T   4 . 0 开 始 的 所 有 版 本 。 如 果 说 之 前 的 版 本 主 要 用 N e t B I O S ， 从 W i n d o w 2 0 0 0   S M B 开 始 默 认 用 U D P   1 3 7 / 1 3 8 端 口 ， T C P 1 3 7 / 1 3 9 ， T C P   4 4 5 端 口 （ D i r e c t   S M B ） 0 x 0 3   认 证 概 览 认 证 概 览   S M B 是 一 个 跨 平 台 的 协 议 ， W i n d o w s 和 U n i x 系 统 都 支 持 。 既 然 S M B 3 . 0 协 议 允 许 W I n d o w s 域 间 文 件 共 享 ， 这 就 需 要 一 个 认 证 算 法 。 最 初 是 基 于 L M 和 N T L M 哈 希 认 证 ， 这 些 函 数 都 非 常 的 危 险 。 我 们 主 要 来 看 N T L M v 2 认 证 ， N T L M v 2 是 一 个 身 份 验 证 协 议 ， 该 协 议 基 于 一 个 用 于 确 定 所 提 供 凭 据 的 真 实 性 的 质 询 / 响 应 机 制 。 最 初 的 关 于 S M B 安 全 的 研 究 来 自 C u l t   o f   t h e   D e a d   C o w   由 S i r   D y s t i c   在 L a n t a n c o n   会 议 展 示 ， 漏 洞 编 号 为 C V E - 2 0 0 8 - 4 0 3 7 。 然 而 此 研 究 只 关 注 了 N e t B I O S 协 议 ， 无 关 互 联 网 线 路 ， 完 整 的 利 用 代 码 将 其 质 询 / 响 应 机 制 转 播 到 第 三 方 服 务 器 。 从 那 以 后 各 种 此 类 攻 击 相 继 发 生 ， 利 用 S M B 转 到 U D P 和 T C P ， 还 有 基 于 h t t p s 网 关 接 受 N T L M 的 认 证 攻 击 。 M e t a s p l o i t   攻 击 框 架 如 今 有 相 当 多 的 关 于 S M B 协 议 的 攻 击 列 表 。 有 趣 的 是 实 行 开 放 的 S M B 连 接 还 要 感 谢 其 他 的 网 络 服 务 ， 例 如 S Q L   S e r v e r s 。 此 类 攻 击 为 安 全 界 提 供 了 新 的 攻 击 策 略 和 方 向 。 最 后 ， S M B 和 其 他 的 复 杂 的 网 络 协 议 一 样 因 其 众 所 周 知 的 b u g s 和 溢 出 而 漏 洞 百 出 。 因 为 S M B 的 分 析 大 部 分 在 内 核 级 别 ， 值 得 注 意 的 是 远 程 系 统 解 决 方 案 之 前 已 经 实 现 了 ， 在 C V S S 有 最 多 1 0 的 评 分 。 0 x 0 4   F r e n c h   K i s s   a t t a c k F r e n c h   K i s s   a t t a c k 是 已 存 在 L A N 攻 击 的 扩 展 ， 就 是 工 作 在 互 联 网 下 。 从 描 述 实 验 环 境 的 建 立 开 始 ， 包 括 从 公 网 I P 网 址 S M B 共 享 上 装 载 S M B 镜 像 。 1 、 目 标 机 器 是 w i n 7   6 4 位 ， 和 w i n 1 0   预 览 版   （ b l a c k h a t 时 w i n 1 0 只 有 预 览 版 ）   两 个 默 认 浏 览 器 是 I n t e r n e t   E x p l o r e r   1 0   和 S p a r t a n   。
另 外 的 服 务 器 在 E C 2 上 运 行 L i n u x   还 安 装 了 一 个 S a m b a 服 务 器 。 2 、 默 认 浏 览 器 用 户 认 证 设 置 两 个 浏 览 器 上 的 用 户 认 证 设 置 为 默 认 即 可 。 正 如 微 软 文 档 上 所 说 ， 它 们 设 置 浏 览 器 希 望 自 动 记 录 本 地 的 网 络 共 享 ， 但 是 当 试 图 链 接 互 联 网 上 的 远 程 文 件 共 享 服 务 器 时 需 要 提 供 凭 证 。 3 、 接 近 S M B 假 设 没 有 明 确 的 S M B 信 息 ， 我 们 简 单 的 用 浏 览 器 载 入 一 个 网 页 ， 这 个 网 页 包 含 i m a g e   标 签 ， U R L 有 f i l e ： / / 前 缀   暗 示 着 远 程 文 件 包 含 。 我 们 另 外 打 开 抓 包 软 件 监 听 目 标 h o s t 的 网 络 活 动 。 当 浏 览 器 载 入 样 本 h t m l 文 件 时 ， 远 程 的 L i n u x   S a m b a   共 享 没 有 实 行 ， W i n d o w s 也 没 有 管 用 户 要 凭 证 。 乍 一 看 好 像 I E 从 未 尝 试 过 链 接 远 程 的 S M B 共 享 。 抓 包 提 示 了 更 多 信 息 ， 如 果 图 片 没 有 显 示 ， 很 可 能 是 正 在 从 网 络 远 程 共 享 上 下 载 ， 且 提 供 了 w i n d o w 的 登 录 凭 证 。 s n i f f e r 抓 包 的 细 节 ， 在 本 地 网 络 上 ， I E 明 文 传 输 了 用 户 名 和 一 个 w i n d o w 登 录 密 码 的 N T L M v 2   h a s h   。 4 、 （ E p i c ） 显 式 并 行 指 令 计 算   s i n g l e   s i g n   o n   设 计 缺 陷 这 个 漏 洞 的 触 发 很 是 不 起 眼 ， 实 在 是 不 应 该 的 失 误 ， 这 在 W i n d o w s 上 是 非 常 严 重 的 漏 洞 。 坦 白 讲 ， 不 仅 F r e n c h   K i s s 攻 击 没 有 特 殊 的 利 用 代 码 （ 就 几 行 h t m l 代 码 ） ， 而 且 S S O 的 失 败 在 于 I E 默 默 发 送 登 录 凭 证 ， 甚 至 涉 及 活 动 目 录 网 络 。 如 果 机 器 连 接 到 了 一 个 域 ， 那 对 于 大 多 数 的 相 关 用 户 不 是 一 件 好 事 。 这 个 漏 洞 触 发 可 用 在 至 今 所 有 版 本 的 w i n d o w s ， I E 浏 览 器 上 。 5 、 破 解 h a s h F r e n c h   K i s s   攻 击 需 要 攻 击 者 抓 取 W i n d o w s   S S O   的 用 户 名 和 N T M L v 2 的 h a s h 密 码 。 作 者 用 了 五 个 G P U 卡 的 设 备 ， 每 秒 尝 试 2 4 亿 个 h a s h ， 对 于 范 围 [ a - z   A - Z ! @ # $ % & ] 内 的 八 位 字 符 最 多 需 要 2 天 五 小 时 ，
6 、 强 化 配 置 ： S M B 数 据 包 签 名 自 从 W i n d o w s   N T 4 . 0 的 S e r v i c e   P a c k   3   和 W i n d o w s   2 0 0 0   开 始   S M B 支 持 在 每 个 数 据 包 签 名 以 确 保 没 有 在 传 输 中 被 篡 改 。 这 个 选 项 因 为 性 能 原 因 默 认 禁 用 （ 微 软 官 方 文 档 提 及 此 安 全 选 项 将 使 性 能 下 降 1 0 % 到 1 5 % ） 然 而 ， F r e n c h   K i s s   攻 击 无 视 数 据 包 签 名 ， 微 软 确 实 防 止 了 替 换 S M B 连 接 ， 但 是 当 连 接 到 互 联 网 时 ， 凭 证 依 然 会 作 为 认 证 的 一 部 分 被 发 出 ， 数 据 包 签 名 并 没 有 提 供 额 外 的 安 全 性 。 0 x 0 5   M e n a g e   a   T r o i s   第 三 方 攻 击 第 三 方 攻 击 第 二 种 S M B 利 用 途 径 是 在 攻 击 者 控 制 的 S M B 服 务 器 和 受 害 者 客 户 端 之 间 替 换 连 接 为 第 三 方 接 受 N T L M v 2 认 证 的 机 器 并 且 受 害 者 网 络 的 一 部 分 （ 因 为 需 要 接 收 那 些 合 法 的 凭 证 ） 。 最 初 C u l t   o f   t h e   D e a d   C o w 执 行 在 N e t B I O S / U D P 上 的 利 用 代 码 已 经 被 扩 展 到 了 L A N 协 议 。 事 实 上 ， 从 攻 击 者 展 示 的 攻 击 方 案 看 来 ， 所 有 的 利 用 代 码 都 可 以 不 经 过 任 何 更 改 利 用 在 I P 上 。 假 设 攻 击 者 可 以 在 公 网 I P 上 发 现 一 个 远 程 的 S M B 共 享 和 一 部 分 受 害 者 。 这 些 足 够 了 ， 典 型 的 S M B 替 换 允 许 攻 击 者 在 目 标 S M B 服 务 器 上 执 行 任 意 远 程 命 令 。 还 要 感 谢 P s E x e c ， 其 最 强 大 的 功 能 之 一 是 在 远 程 系 统 和 远 程 支 持 工 具 （ 如 I p C o n f i g ） 中 启 动 交 互 式 命 令 提 示 窗 口 ， 以 便 显 示 无 法 通 过 其 他 方 式 显 示 的 有 关 远 程 系 统 的 信 息 。 这 种 方 式 因 为 明 显 的 安 全 原 因 看 起 来 很 罕 见 ， 但 是 以 此 延 伸 出 替 换 h t t p s 的 S M B （ h t t p s 连 接 一 个 基 于 N T M L 认 证 的 交 换 机 ） 已 经 广 泛 存 在 了 。 在 黑 暗 谷 歌 S h o d a n 上 搜 索 可 以 搜 到 上 千 个 这 样 的 服 务 器 , 还 好 多 都 是 中 国 的 。 我 们 想 将 存 在 的 替 换 攻 击 扩 展 到 终 端 服 务 器 上 ， 以 此 完 全 的 模 拟 远 程 用 户 。 事 实 上 ， W i n d o w s 从 W i n d o w s   S e r v e r   2 0 0 8 开 始 就 允 许 以 h t t p s 使 用 终 端 服 务 器 （ 感 谢 T S   W e b   A c c e s s ） 。 因 为 核 心 认 证 机 制 还 是 基 于 N T L M v 2 ， 攻 击 者 完 全 可 能 在 网 上 创 建 一 个 傀 儡 S M B 共 享 然 后 将 连 接 都 转 到 受 害 者 内 网 上 的 T S   W e b   A c c e s s 并 且 获 得 完 整 的 远 程 桌 面 权 限 。 0 x 0 6   其 他 触 发 方 式 其 他 触 发 方 式 如 果 说 浏 览 器 是 此 类 攻 击 的 明 显 目 标 ， 任 何 W i n d o w s 客 户 端 接 受 文 件 f i l e ： / / 或 者 / / 前 缀 都 很 危 险 。 作 者 也 还 成 功 在 O u t l o o k 中 触 发 了 漏 洞 。
C y l a n c e 团 队 之 前 发 布 了 一 个 软 件 漏 洞 的 列 表 和 这 个 议 题 很 像 ， 包 括 A d o b e   R e a d e r   和 A p p l e   S o f t w a r e   U p d a t e （ i T u n e s ） ， I E 浏 览 器 ， W i n d o w s   M e d i a   P l a y e r , 还 有 两 款 常 用 I D E   p y c h a r m 和 P H P S t o r m ， 居 然 还 有 J D K   8 u 。 0 x 0 7   如 何 防 护 如 何 防 护 微 软 官 方 公 开 的 文 档 建 议 网 络 管 理 者 外 围 冻 结 S M B 传 输 ， 关 闭 公 开 的 S M B 包 端 口 1 3 7 / 1 3 8 / 1 3 9 / 4 4 5 。 这 是 一 个 好 的 措 施 ， 但 是 在 移 动 桌 面 的 时 代 不 再 有 效 ， 如 果 员 工 把 笔 记 本 带 回 家 外 网 办 公 ， 同 样 会 在 以 上 两 种 攻 击 方 法 中 沦 陷 。 除 外 围 防 火 墙 之 外 ， 我 们 还 提 倡 用 户 基 于 强 大 的 W i n d o w s 防 火 墙 （ 至 少 是 W i n d o w s   X P   S P 2 ） 通 过 强 制 过 滤 端 口 （ 1 3 7 / 1 3 8 / 1 3 9 / 4 4 5 ） 和 阻 拦 任 何 通 过 上 述 端 口 的 I P 包 ， 然 后 有 一 个 公 网 I P 作 为 目 标 h o s t ， 我 们 提 供 一 个 更 坚 固 的 保 护 。 杜 绝 弱 口 令 ， 密 码 至 少 超 过 9 位 ， 提 升 密 码 复 杂 度 可 以 抵 御 F r e n c h   K i s s   攻 击 但 是 对 S M B 替 换 没 用 。 最 后 ， 打 开 S M B 数 据 包 签 名 可 以 缓 解 S M B 替 换 ， 但 是 因 为 新 的 S M B 连 接 之 后 只 终 止 一 次 发 到 互 联 网 的 用 户 凭 证 ， 所 以 它 不 能 完 全 防 御 以 上 任 何 一 种 攻 击 。 总 结 总 结 我 们 详 细 讲 述 了 S M B 扩 展 攻 击 允 许 窃 取 凭 证 和 来 自 网 络 的 用 户 伪 造 ， 因 为 实 际 上 内 网 部 分 W i n d o w s 设 备 都 是 以 I E 为 默 认 浏 览 器 ， 明 显 是 活 动 目 录 网 络 的 一 部 分 ， 漏 洞 的 重 要 性 不 言 而 喻 。 * 本 文 作 者 ： 月 尽 西 楼 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理