Forwarded from Cyber Sentinel (Sam)
Graph-CTI-annual-report1403.pdf
16.2 MB
گزارش حملات به زیرساخت های ایران از سال 2023 تا 2025
❤5🔥1
Forwarded from Virtualization Channel ((️️*Prometto️*))
اگر میخواید پرزنتی انجام بدید برای آنتی ویروس فایروال یا Endpoint هاتون میتونید از یک ویروس شبیه سازی شده برای اینکار استفاده کنید
اینکار برای پرزنت در جلسه مفیده که نحوه تشخیص ویروس و قرنطینه شدنش رو نشون بدید (برای مدیران جذابه)
ویروس شبیه سازی شده رو میتونید از سایت زیر بردارید
نکته ای که هست اینه که نگران نباشید این ویروس جوری program شده که آسیبی به شبکه یا سازمانتون نمیزنه و صرفا جهت تست طراحی شده
https://support.kaspersky.com/common/diagnostics/7399
@VMware_ESXI
اینکار برای پرزنت در جلسه مفیده که نحوه تشخیص ویروس و قرنطینه شدنش رو نشون بدید (برای مدیران جذابه)
ویروس شبیه سازی شده رو میتونید از سایت زیر بردارید
نکته ای که هست اینه که نگران نباشید این ویروس جوری program شده که آسیبی به شبکه یا سازمانتون نمیزنه و صرفا جهت تست طراحی شده
https://support.kaspersky.com/common/diagnostics/7399
@VMware_ESXI
Kaspersky
EICAR test file for checking Kaspersky applications' behavior
Overview of settings and features available in a Kaspersky application and guides on how to use them.
🙏5❤1🔥1
ViperNułł
Photo
آموزش کشف ساختار دایرکتوری با LDAP Enumeration
سلام، قراره توی این مقاله به Enumeration پروتکل LDAP بپردازم و یکسری تکنیکها، ابزارها و سناریوهای واقعی رو با هم بررسی کنیم — — — — — — — — — — — — — — — — — — — —
پروتکل LDAP چیه و چگونه کار میکنه؟
LDAP (Lightweight Directory Access Protocol)
پروتکلی برای دسترسی و مدیریت اطلاعات دایرکتوری سرویس هستش که معمولاً روی
port 389 TCP (یا 636 برای LDAPS )
کار میکنه و برای احراز هویت و اعمال پالیسیها در سیستمهای سازمانی استفاده میشه.
برای مثال؛ دایرکتوری سرویسها مثل Microsoft Active Directory یا در لینوکس OpenLDAP هستن که از LDAP برای ذخیره و بازیابی اطلاعات (یوزرها، گروهها، کامپیوترها، پالیسیها و ...) استفاده میکنن.
وقتی کاربری میخواد به دایرکتوری دسترسی داشته باشه، یک جلسه (DSA session) باز میشه و کوئریهای LDAP فرستاده میشه تا اطلاعات لازم خوانده یا تغییر کنه.
حالا ما بهعنوان یه کاربر نرمال (جوین دامین) چه اطلاعاتی میتونیم از Domain Controller استخراج کنیم؟
سوال: ما بهعنوان یه کاربر معمولی که جوین دامین هستیم و دسترسی نصب/اجرا با دسترسی بالا یا تغییر تنظیمات رو نداریم، چه اطلاعاتی میتونیم از دومین کنترلر بدست بیاریم؟
آیا میشه فهمید چه یوزرها و گروهها هستن، چه زمانی لاگین کردن، چند بار پسورد اشتباه زدن، کی پسوردشون عوض شده و خیلی اطلاعات دیگه رو از طریق LDAP از دومین کنترلر استخراج کرد؟
پاسخ: بله — میشه.
دلیلش اینه که بسیاری از این عملیات (خواندن اطلاعات دایرکتوری) با یک لاگین ساده و کوئریهای معمولی قابل انجامه و از دید سرور رفتاری «نرمال» محسوب میشه پس بهراحتی میشه اطلاعات زیادی استخراج کرد.
ابزارها
ابزارهایی مانند:
ldapsearch -- LDAP Explorer -- JXplorer
AD Explorer
(ابزاری از مجموع Sysinternals ، پورتیبل نیاز به نصب نداره)
این ابزارها با وارد کردن IP DC و یوزر/پسورد نرمال جوینشده، کوئری LDAP میزنن و اطلاعات زیادی از DC استخراج میکنه.
(«نمونه تصویر که گزاشتم»)
اگر exe و msi بسته باشه چطور؟
حتی اگه در سازمان اجرای فایلهای exe و نصب از msi محدود شده باشه باز هم میشه از طریق CMD و PowerShell همین فرایندها رو انجام داد. فریمورکهایی مثل Nishang و BloodHound از طریق کامندهای پاورشل استخراج اطلاعات از LDAP و AD رو ساده میکنن.
در نتیجه: بستن اجرای EXE/MSI بهتنهایی کافی نیست.اتکر میتونه از ابزارهای خط فرمان یا اسکریپتها استفاده کنه.
راهکار برای جلوگیری و شناسایی این حمله
جلوگیری از LDAP Enumeration کمی سخته چون فرایندی که صورت میگیره اغلب کاملاً نرماله — یعنی یک لاگین موفق ساده اتفاق میفته و رفتار کلاینتها هم مشابه اینه. حتی با اپلیکیشن وایتلیستینگ هم ابزارها قابل بایپس شدن هستن. بستن exe و msi هم مشکلزاست چون نرمافزاها از کار میفتن؛ و در نهایت اتکر میتونه از طریق cmd و PowerShell عمل کنه.
با این حال میتونیم با ترکیب چند راهکار، کار اتکر رو سختتر کنیم
بهترین راهکار :
امن سازی LDAP و دسترسیها
از LDAPS یا StartTLS استفاده کنین (رمزگذاری ارتباط)
فرابند Anonymous binds رو غیرفعال کنید و
حداقل دسترسی (least privilege) رو رعایت کنین حسابهایی که فقط باید خواندن محدودی داشته باشن رو محدود کنین
از گروهها و ACLهای مناسب برای دایرکتوری استفاده کنین تا اطلاعات غیرضروری در دسترس همه نباشه
پالیسیها و احراز هویت قویتر
استفاده از گذرواژههای قویMFA برای حسابهای حساس و کنترل گذرواژههای سرویسها
مانیتورینگ و لاگگیری های که باید انجام بدیم Endpoints + DC
لاگهای PowerShell و Process Creation روی اندپوینتها رو فعال کنین
(CommandLine در Sysmon/EDR)
لاگهای لاگین روی DC و لاگهای کوئری LDAP (در صورت امکان) رو جمعآوری کنین
روی اندپوینتها هم لاگگیری انجام بدین چون اجرای ابزار یا اسکریپتها اونجا ثبت میشه سمت dc ما کامندی نمیبینیم همینجا تحلیل CommandLine میتونه ما رو به استخراج LDAP کمک کنه
https://news.1rj.ru/str/ViperNull
سلام، قراره توی این مقاله به Enumeration پروتکل LDAP بپردازم و یکسری تکنیکها، ابزارها و سناریوهای واقعی رو با هم بررسی کنیم — — — — — — — — — — — — — — — — — — — —
پروتکل LDAP چیه و چگونه کار میکنه؟
LDAP (Lightweight Directory Access Protocol)
پروتکلی برای دسترسی و مدیریت اطلاعات دایرکتوری سرویس هستش که معمولاً روی
port 389 TCP (یا 636 برای LDAPS )
کار میکنه و برای احراز هویت و اعمال پالیسیها در سیستمهای سازمانی استفاده میشه.
برای مثال؛ دایرکتوری سرویسها مثل Microsoft Active Directory یا در لینوکس OpenLDAP هستن که از LDAP برای ذخیره و بازیابی اطلاعات (یوزرها، گروهها، کامپیوترها، پالیسیها و ...) استفاده میکنن.
وقتی کاربری میخواد به دایرکتوری دسترسی داشته باشه، یک جلسه (DSA session) باز میشه و کوئریهای LDAP فرستاده میشه تا اطلاعات لازم خوانده یا تغییر کنه.
حالا ما بهعنوان یه کاربر نرمال (جوین دامین) چه اطلاعاتی میتونیم از Domain Controller استخراج کنیم؟
سوال: ما بهعنوان یه کاربر معمولی که جوین دامین هستیم و دسترسی نصب/اجرا با دسترسی بالا یا تغییر تنظیمات رو نداریم، چه اطلاعاتی میتونیم از دومین کنترلر بدست بیاریم؟
آیا میشه فهمید چه یوزرها و گروهها هستن، چه زمانی لاگین کردن، چند بار پسورد اشتباه زدن، کی پسوردشون عوض شده و خیلی اطلاعات دیگه رو از طریق LDAP از دومین کنترلر استخراج کرد؟
پاسخ: بله — میشه.
دلیلش اینه که بسیاری از این عملیات (خواندن اطلاعات دایرکتوری) با یک لاگین ساده و کوئریهای معمولی قابل انجامه و از دید سرور رفتاری «نرمال» محسوب میشه پس بهراحتی میشه اطلاعات زیادی استخراج کرد.
ابزارها
ابزارهایی مانند:
ldapsearch -- LDAP Explorer -- JXplorer
AD Explorer
(ابزاری از مجموع Sysinternals ، پورتیبل نیاز به نصب نداره)
این ابزارها با وارد کردن IP DC و یوزر/پسورد نرمال جوینشده، کوئری LDAP میزنن و اطلاعات زیادی از DC استخراج میکنه.
(«نمونه تصویر که گزاشتم»)
اگر exe و msi بسته باشه چطور؟
حتی اگه در سازمان اجرای فایلهای exe و نصب از msi محدود شده باشه باز هم میشه از طریق CMD و PowerShell همین فرایندها رو انجام داد. فریمورکهایی مثل Nishang و BloodHound از طریق کامندهای پاورشل استخراج اطلاعات از LDAP و AD رو ساده میکنن.
در نتیجه: بستن اجرای EXE/MSI بهتنهایی کافی نیست.اتکر میتونه از ابزارهای خط فرمان یا اسکریپتها استفاده کنه.
راهکار برای جلوگیری و شناسایی این حمله
جلوگیری از LDAP Enumeration کمی سخته چون فرایندی که صورت میگیره اغلب کاملاً نرماله — یعنی یک لاگین موفق ساده اتفاق میفته و رفتار کلاینتها هم مشابه اینه. حتی با اپلیکیشن وایتلیستینگ هم ابزارها قابل بایپس شدن هستن. بستن exe و msi هم مشکلزاست چون نرمافزاها از کار میفتن؛ و در نهایت اتکر میتونه از طریق cmd و PowerShell عمل کنه.
با این حال میتونیم با ترکیب چند راهکار، کار اتکر رو سختتر کنیم
بهترین راهکار :
امن سازی LDAP و دسترسیها
از LDAPS یا StartTLS استفاده کنین (رمزگذاری ارتباط)
فرابند Anonymous binds رو غیرفعال کنید و
حداقل دسترسی (least privilege) رو رعایت کنین حسابهایی که فقط باید خواندن محدودی داشته باشن رو محدود کنین
از گروهها و ACLهای مناسب برای دایرکتوری استفاده کنین تا اطلاعات غیرضروری در دسترس همه نباشه
پالیسیها و احراز هویت قویتر
استفاده از گذرواژههای قویMFA برای حسابهای حساس و کنترل گذرواژههای سرویسها
مانیتورینگ و لاگگیری های که باید انجام بدیم Endpoints + DC
لاگهای PowerShell و Process Creation روی اندپوینتها رو فعال کنین
(CommandLine در Sysmon/EDR)
لاگهای لاگین روی DC و لاگهای کوئری LDAP (در صورت امکان) رو جمعآوری کنین
روی اندپوینتها هم لاگگیری انجام بدین چون اجرای ابزار یا اسکریپتها اونجا ثبت میشه سمت dc ما کامندی نمیبینیم همینجا تحلیل CommandLine میتونه ما رو به استخراج LDAP کمک کنه
https://news.1rj.ru/str/ViperNull
Telegram
ViperNułł
ViperNull | Exploring the world of network security. Dive into cybersecurity with in-depth content on penetration testing, defensive strategies, vulnerability analysis, and powerful security tools.
Pv ; @Cintaxed
Pv ; @Cintaxed
❤🔥4❤1🔥1
Forwarded from CyberSecurity Shield (Pouyan Zamani)
eset-apt-activity-report-q2-2025-q3-2025.pdf
1.3 MB
#گزارش Eset از فعالیت APT ها در سه ماهه دوم سال
❤🔥6🔥1
شاید فکر کنید اینستاگرام فقط یک اپلیکیشن برای اشتراکگذاری عکس و ویدئو است، اما واقعیت چیز دیگری است. طبق بررسیهای انجامشده، این برنامه به طرز گستردهای به دادههای شخصی کاربران دسترسی دارد؛ از موقعیت مکانی دقیق گرفته تا فهرست مخاطبین، فایلهای ذخیرهشده، کلیپبورد و حتی حسگرهای حرکتی گوشی.
اینستاگرام میتواند از طریق همین دادهها، نحوه تعامل شما با محتوا را تحلیل کند — اینکه چه نوع پستهایی را بیشتر میپسندید، چقدر در صفحه میمانید، و حتی با چه سرعتی اسکرول میکنید. همه این اطلاعات به الگوریتمی تغذیه میشوند که هدف آن، شناخت عمیقتر رفتار کاربر و ارائه محتوای هدفمندتر است.
به بیان سادهتر، اینستاگرام فقط یک شبکه اجتماعی نیست؛ بلکه یک سیستم عظیم جمعآوری و تحلیل داده است که از هر حرکت شما — چه درون اپ و چه بیرون آن — برای ساختن یک تصویر دقیقتر از علایق و عاداتتان استفاده میکند.
https://news.1rj.ru/str/ViperNull
اینستاگرام میتواند از طریق همین دادهها، نحوه تعامل شما با محتوا را تحلیل کند — اینکه چه نوع پستهایی را بیشتر میپسندید، چقدر در صفحه میمانید، و حتی با چه سرعتی اسکرول میکنید. همه این اطلاعات به الگوریتمی تغذیه میشوند که هدف آن، شناخت عمیقتر رفتار کاربر و ارائه محتوای هدفمندتر است.
به بیان سادهتر، اینستاگرام فقط یک شبکه اجتماعی نیست؛ بلکه یک سیستم عظیم جمعآوری و تحلیل داده است که از هر حرکت شما — چه درون اپ و چه بیرون آن — برای ساختن یک تصویر دقیقتر از علایق و عاداتتان استفاده میکند.
https://news.1rj.ru/str/ViperNull
🔥6
Audio
خلاصه تحلیلی #گزارش eset به زحمت notebooklm 😁
تقدیم به تمام تنبلهای عالم که حال خوندن گزارش رو ندارند
https://news.1rj.ru/str/ViperNull
تقدیم به تمام تنبلهای عالم که حال خوندن گزارش رو ندارند
https://news.1rj.ru/str/ViperNull
🔥4👌2
Forwarded from WrongBug☕️
Hardening_Microsoft_Windows_10_and_Windows_11_Workstation@WrongBug.pdf
1.6 MB
Join Now🔱
⚜@WrongBug⚜
⚜@WrongBug⚜
🔥7
Forwarded from Deleted Account
Real-World Bug Hunting_persian.pdf
5.1 MB
کتاب real world bug hunting ترجمه شده (زبان فارسی)
❤8
Forwarded from OnHex
🔴 طبق اعلام کاربران در برخی کشورها، Cloudflare قطع و در نتیجه دسترسی به برخی سایتها با مشکل مواجه شده.
شرکت Cloudflare اعلام کرده که قطعی رو شناسایی و راه حلی اعمال کرده، اما همچنان برخی از سایتها در دسترس نیستن.
حمله سایبری تایید نشده اما برخی گروهها مانند Dark Strom Team، مسئولیت قطعی ها رو به عهده گرفتن.
بهزاد اکبری معاون وزیر ارتباطات و فناوری اطلاعات هم در توییتی اعلام کرده که:
#اینترنت
🟥 Telegram | Site | X | Youtube | Github | Donate
شرکت Cloudflare اعلام کرده که قطعی رو شناسایی و راه حلی اعمال کرده، اما همچنان برخی از سایتها در دسترس نیستن.
حمله سایبری تایید نشده اما برخی گروهها مانند Dark Strom Team، مسئولیت قطعی ها رو به عهده گرفتن.
بهزاد اکبری معاون وزیر ارتباطات و فناوری اطلاعات هم در توییتی اعلام کرده که:
لطفا به گیرندههایتان دست نزنید، هم کلادفلر مشکل دارد و هم قطعی گسترده در خارج از کشور در ارمنستان داریم.
#اینترنت
🟥 Telegram | Site | X | Youtube | Github | Donate
Cloudflarestatus
Cloudflare Status
Welcome to Cloudflare's home for real-time and historical data on system performance.
🔥5
آموزش تخصصی کالی لینوکس، تست نفوذ، امنیت سایبری و هک قانونمند
🎯 نکات مهم هک اخلاقی، ابزارهای تست نفوذ مثل Nmap، Burp Suite، Metasploit و Wireshark
💻 مناسب برای علاقهمندان به دورههای CEH، OSCP و Bug Bounty
https://news.1rj.ru/str/kali_signal
🎯 نکات مهم هک اخلاقی، ابزارهای تست نفوذ مثل Nmap، Burp Suite، Metasploit و Wireshark
💻 مناسب برای علاقهمندان به دورههای CEH، OSCP و Bug Bounty
https://news.1rj.ru/str/kali_signal
❤10
Forwarded from اخبار داغ امنیت شبکه
🔴اخراج کارمند داخلی CrowdStrike به دلیل اشتراکگذاری اطلاعات سیستم با هکرها
شرکت بزرگ امنیت سایبری CrowdStrike تأیید کرده است که یک کارمند داخلی را به دلیل به اشتراکگذاری جزئیات حساس سیستم داخلی با یک گروه هکری بدنام، اخراج کرده است. این حادثه بر اهمیت تهدیدات داخلی، حتی در شرکتهای امنیتی پیشرو، تأکید دارد.
جزئیات نشت اطلاعات و مهاجمان
این حادثه پس از آن علنی شد که تصاویر داخلی در یک کانال عمومی تلگرام متعلق به گروه هکری منتشر شد:
فرد اخراجی: یک کارمند داخلی در CrowdStrike.
اقدام صورت گرفته: این کارمند تصاویر صفحه نمایش کامپیوتر خود را که حاوی جزئیات سیستم داخلی شرکت بود، به اشتراک گذاشته است.
طرف دریافتکننده اطلاعات: گروه هکری با نام "Scattered Lapsus$ Hunters" که خود را "ابرگروه" متشکل از اعضای گروههای Scattered Spider، LAPSUS$، و ShinyHunters معرفی میکند.
اطلاعات به اشتراک گذاشته شده: اسکرینشاتها داشبوردهای داخلی CrowdStrike، از جمله پنل Okta Single Sign-On (SSO) که توسط کارمندان برای دسترسی به برنامههای شرکتی استفاده میشود، را نشان میداد.
مطالعه کامل خبر 👉
🆔 @TakianCo
🇮🇷
شرکت بزرگ امنیت سایبری CrowdStrike تأیید کرده است که یک کارمند داخلی را به دلیل به اشتراکگذاری جزئیات حساس سیستم داخلی با یک گروه هکری بدنام، اخراج کرده است. این حادثه بر اهمیت تهدیدات داخلی، حتی در شرکتهای امنیتی پیشرو، تأکید دارد.
جزئیات نشت اطلاعات و مهاجمان
این حادثه پس از آن علنی شد که تصاویر داخلی در یک کانال عمومی تلگرام متعلق به گروه هکری منتشر شد:
فرد اخراجی: یک کارمند داخلی در CrowdStrike.
اقدام صورت گرفته: این کارمند تصاویر صفحه نمایش کامپیوتر خود را که حاوی جزئیات سیستم داخلی شرکت بود، به اشتراک گذاشته است.
طرف دریافتکننده اطلاعات: گروه هکری با نام "Scattered Lapsus$ Hunters" که خود را "ابرگروه" متشکل از اعضای گروههای Scattered Spider، LAPSUS$، و ShinyHunters معرفی میکند.
اطلاعات به اشتراک گذاشته شده: اسکرینشاتها داشبوردهای داخلی CrowdStrike، از جمله پنل Okta Single Sign-On (SSO) که توسط کارمندان برای دسترسی به برنامههای شرکتی استفاده میشود، را نشان میداد.
مطالعه کامل خبر 👉
🆔 @TakianCo
🇮🇷
🔥5
ViperNułł
Photo
SMB Enumeration چیست و چطور انجام میشود؟
پروتکل SMB (Server Message Block) یکی از پروتکلهای اصلی سیستمعامل ویندوز برای اشتراکگذاری فایل، پرینتر و منابع شبکه هستش. هر وقت که بخواهید روی یک شبکه داخلی یک پوشه، پرینتر یا حتی یک دستگاه NAS را در دسترس بقیه سیستمها قرار بدین، پشتصحنه همین پروتکل SMB در حال کار هستش.
این پروتکل بهصورت پیشفرض روی تعداد زیادی از دستگاهها فعال است:
روی ویندوزها
روی پرینترهای شبکه
روی NASها
روی روترهایی که قابلیت USB-Storage دارن
به همین خاطر SMB همیشه یکی از نقاط مهم در بحث امنیت شبکه و مانیتورینگ محسوب میشه و بیشتر اسیب پذیری ها روی این پروتکول هستش
ورژنهای SMB و پورتهایی که استفاده میکنه
SMBv1: ویندوز XP ، ویندوز 7 قدیمی، Server 2008 TCP/139
SMBv2: ویندوز 7 ، 8 ، 10 ، Server 2008+ TCP/445
SMBv3: ویندوز 10 ، ویندوز 11 ، Server 2016+ TCP/445
حالا SMB Enumeration چیه؟
مشخصا Enumeration یعنی جمعآوری اطلاعات درباره سرویس SMB روی یک سیستم، بدون اینکه وارد اون سیستم بشیم.
چیزهایی که معمولاً در Enumeration SMB به دست میاریم:
لیست یوزرها
لیست Shareهای موجود
اطلاعات سیستمعامل و نسخه
بررسی سطوح دسترسی
تشخیص اینکه SMB چه نسخهای هستش
این اطلاعات برای:
مدیریت شبکه
عیبیابی
بررسی امنیتی
پیدا کردن misconfiguration
مهمه
چطور این کار انجام میشه؟
1) با ابزارهایی مثل Nmap
Nmap یسری اسکریپت داره (NSE)
مخصوصSMB هست که میشه
نسخه SMB
لیست Shareها
اطلاعات سیستم
رو نمایش داد
این بخش بیشتر برای تحلیل و بررسی امنیتی استفاده میشه.
یا با استفاده از متا اسپلویت
Use auxiliary/scanner/smb/smb_login
Set rhost
Set pass_file
Set user_file
..
Run
اگه یوزر و پسورد داخل لیست بود و موفق بود پیدا میشه
ما با استفاده از مجموعه ابزار ps tools که از مایکروسافت sysinternals هستش میاییم بهره برداری میکنیم روی پروتکول smb از طریق یوزر نیم و پسورد بدست اومده
Ps tools
رو از سایت مایکروسافت دانلود کرده و توی cmd به این روش استفاده میشه ؛
Psinfo.exe اطلاعات مربوط به سیستم رو میده
Psexc64.exe میاد پراسسی رو اجرا میکنه
Pslist.exe میاد لیست میکنه پراسس هارو
و....
نحوه استفاده :
Psinfo.exe //192.168.1.1 -u amir -p 123
حالا ما برای اینکه دستریی cmd از سیستم مقصد داشته باشیم از ps exec64 استفاده میکنیم
Psexec64.exe -i //192.168.1.1 -u amir -p 123 cmd.exe
راهکارهای دفاعی:
✔ 1) غیرفعالکردن SMBv1
SMBv1
قدیمی و ناامن هستش. در ویندوزهای جدید بهصورت پیشفرض غیرفعال شده
✔ 2) اعمال Password Policy
پسوردهای حداقل ۱۲ کاراکتری
ترکیب عدد، حرف و علامت
محدودیت تعداد تلاش ورود (Account Lockout)
✔ 3) بستن پورت 445 برای اینترنت
پورت 445 فقط باید داخل شبکه داخلی باز باشه.
✔ 4) استفاده از فایروال ویندوز
برای اینکه فقط سیستمهای مجاز بتونن به SMB وصل بشن
✔ 5) مانیتورینگ Logها
بازرسی رخدادهای ورود ناموفق، دسترسیها و تغییرات.
✔ 6) فعالکردن SMB Signing
این قابلیت مانع حملات MITM در SMB میشود.
https://news.1rj.ru/str/ViperNull
پروتکل SMB (Server Message Block) یکی از پروتکلهای اصلی سیستمعامل ویندوز برای اشتراکگذاری فایل، پرینتر و منابع شبکه هستش. هر وقت که بخواهید روی یک شبکه داخلی یک پوشه، پرینتر یا حتی یک دستگاه NAS را در دسترس بقیه سیستمها قرار بدین، پشتصحنه همین پروتکل SMB در حال کار هستش.
این پروتکل بهصورت پیشفرض روی تعداد زیادی از دستگاهها فعال است:
روی ویندوزها
روی پرینترهای شبکه
روی NASها
روی روترهایی که قابلیت USB-Storage دارن
به همین خاطر SMB همیشه یکی از نقاط مهم در بحث امنیت شبکه و مانیتورینگ محسوب میشه و بیشتر اسیب پذیری ها روی این پروتکول هستش
ورژنهای SMB و پورتهایی که استفاده میکنه
SMBv1: ویندوز XP ، ویندوز 7 قدیمی، Server 2008 TCP/139
SMBv2: ویندوز 7 ، 8 ، 10 ، Server 2008+ TCP/445
SMBv3: ویندوز 10 ، ویندوز 11 ، Server 2016+ TCP/445
حالا SMB Enumeration چیه؟
مشخصا Enumeration یعنی جمعآوری اطلاعات درباره سرویس SMB روی یک سیستم، بدون اینکه وارد اون سیستم بشیم.
چیزهایی که معمولاً در Enumeration SMB به دست میاریم:
لیست یوزرها
لیست Shareهای موجود
اطلاعات سیستمعامل و نسخه
بررسی سطوح دسترسی
تشخیص اینکه SMB چه نسخهای هستش
این اطلاعات برای:
مدیریت شبکه
عیبیابی
بررسی امنیتی
پیدا کردن misconfiguration
مهمه
چطور این کار انجام میشه؟
1) با ابزارهایی مثل Nmap
Nmap یسری اسکریپت داره (NSE)
مخصوصSMB هست که میشه
نسخه SMB
لیست Shareها
اطلاعات سیستم
رو نمایش داد
این بخش بیشتر برای تحلیل و بررسی امنیتی استفاده میشه.
یا با استفاده از متا اسپلویت
Use auxiliary/scanner/smb/smb_login
Set rhost
Set pass_file
Set user_file
..
Run
اگه یوزر و پسورد داخل لیست بود و موفق بود پیدا میشه
ما با استفاده از مجموعه ابزار ps tools که از مایکروسافت sysinternals هستش میاییم بهره برداری میکنیم روی پروتکول smb از طریق یوزر نیم و پسورد بدست اومده
Ps tools
رو از سایت مایکروسافت دانلود کرده و توی cmd به این روش استفاده میشه ؛
Psinfo.exe اطلاعات مربوط به سیستم رو میده
Psexc64.exe میاد پراسسی رو اجرا میکنه
Pslist.exe میاد لیست میکنه پراسس هارو
و....
نحوه استفاده :
Psinfo.exe //192.168.1.1 -u amir -p 123
حالا ما برای اینکه دستریی cmd از سیستم مقصد داشته باشیم از ps exec64 استفاده میکنیم
Psexec64.exe -i //192.168.1.1 -u amir -p 123 cmd.exe
راهکارهای دفاعی:
✔ 1) غیرفعالکردن SMBv1
SMBv1
قدیمی و ناامن هستش. در ویندوزهای جدید بهصورت پیشفرض غیرفعال شده
✔ 2) اعمال Password Policy
پسوردهای حداقل ۱۲ کاراکتری
ترکیب عدد، حرف و علامت
محدودیت تعداد تلاش ورود (Account Lockout)
✔ 3) بستن پورت 445 برای اینترنت
پورت 445 فقط باید داخل شبکه داخلی باز باشه.
✔ 4) استفاده از فایروال ویندوز
برای اینکه فقط سیستمهای مجاز بتونن به SMB وصل بشن
✔ 5) مانیتورینگ Logها
بازرسی رخدادهای ورود ناموفق، دسترسیها و تغییرات.
✔ 6) فعالکردن SMB Signing
این قابلیت مانع حملات MITM در SMB میشود.
https://news.1rj.ru/str/ViperNull
Telegram
ViperNułł
ViperNull | Exploring the world of network security. Dive into cybersecurity with in-depth content on penetration testing, defensive strategies, vulnerability analysis, and powerful security tools.
Pv ; @Cintaxed
Pv ; @Cintaxed
❤🔥5❤4