smbrelay (ipv4)

AD

El SMB Relay Attack es una técnica de ataque de tipo "man-in-the-middle" (MITM) en la que el atacante intercepta y retransmite autenticaciones SMB (Server Message Block) para acceder a recursos protegidos sin conocer la contraseña.

funciona porque cuando un cliente Windows intenta autenticarse con un servidor utilizando el protocolo smb el atacante se interpone entre el cliente y servidor mediante técnicas de envenenamiento, por lo que el atacante logra capturar la autenticación NTLM del cliente, la cual retransmite a un servidor legitimo que confía en esa autenticación y si la acepta el atacante obtiene acceso a recursos que no debería.

• este ataque se puede hacer con varias herramientas, esta vez vamos a hacerlo mediante responder.

Explotación (sambarelay ipv4)

instalación de responder : https://github.com/lgandx/Responder

python3 Responder.py -I interfaz_de_red_aqui -rdw

el ejecutar este comando ya estaremos envenenando trafico, como el samba no esta usualmente firmado no se logra verificar la legitimidad del Origen.

Entonces aquí entra el ataque de MITM. Pongamos un ejemplo :

un computador comparte el recurso compartido calendario_nuevo pero ese computador esta apagado, cuando otro equipo solicita ese recurso no llegara ya que el host que lo compartía no esta disponible. Por lo que empieza a preguntar a mas dispositivos (como lo vimos en la introducción a active directory hacking). Como el samba no esta firmado, engañamos (responder lo hace auto) al objetivo para que crea que nosotros tenemos el recurso y despues de eso ya tenemos su hash NTLM. Incluso funciona cuando se consultan recursos que no existen o ya no existen

Ese hash no nos permite hacer un passThehash (PTH) pero si podemos crackearlo :

en un archivo txt vamos a pegar todos los hashes de los usuarios que cayeron (poniendo cada hash en una misma linea) para posteriormente hacer el crack con john

john --wordlist=diccionario.txt hashes.txt