Quartz 4

Enumerazione NetBIOS

2 min read

tags: NetBIOS enumerazione windows privilage_escalation Active_Directory windows

NetBIOS è una specie di protocollo sul quale fanno affidamento le macchine Windows all’interno di un rete per esempio aziendale, è un protocollo che lavora specialmente nella rete interna e serve a condividere risorse fra i vari dispositivi presenti nella rete interna. Può tornare utile in una fase di scalata dei privilegi perchè può rilevare nomi di computer, di utenti, cartelle di condivisione, ecc.

Codici informativi:

CodiceDescrizioneNote mnemoniche
<00>Workstation Service (NetBIOS name del computer)Nome host base
<03>Messenger Service (utente loggato)“3” = “Msg” (Messenger)
<06>RAS Server ServiceConnessioni dial-up
<20>File Server Service“20” = condivisione file
<1B>Domain Master BrowserMaster per elenco computer nel dominio
<1C>Domain Controllers (lista)“C” = Controllers
<1D>Master Browser localeBrowser per la sottorete locale
<1E>Browser di backup (Browser Election Service)Elezioni browser nella subnet
<BE>Network Monitor AgentStrumenti di monitoraggio
<BF>Network Monitor ApplicationStrumenti di monitoraggio
nbtstat [-a <remotename>] [-A <IPaddress>] [-c] [-n] [-r] [-R] [-RR] [-s] [-S] [<interval>][-?]

Windows

I comandi più importanti da utilizzare per enumerare questo servizio sono:

nbtstat -a <Indirizzo IP>      #enumera un determiato indirizzo IP
 
Name               Type       Status
-----------------------------------
PC1         <00>   UNIQUE     Registered
DOMAIN      <00>   GROUP      Registered
PC1         <20>   UNIQUE     Registered
DOMAIN      <1E>   GROUP      Registered

Dove:

  • PC1 <00> UNIQUE: Nome univoco per la macchina chiamata PC1.
  • DOMAIN <00> GROUP: Il nome del gruppo di lavoro o dominio a cui appartiene.
  • PC1 <20> UNIQUE: Indica che su PC1 è attivo un servizio Server.
  • DOMAIN <1E> GROUP: Questo nome è associato al gruppo di browser nel dominio.
nbtstat -c       #Ti da gli ultimi indirizzi che hanno utilizzato NetBIOS
net use             #Ti permette di vedere le cartelle di condivisione

Un altro comando utile che ci permette di ottenere una lista di tutte le risorse condivise di un host remoto o gruppo di lavoro è il seguente:

net view \\<indirizzo IP> /ALL
 
net view \\<computername>
 
net view /domain:<domain name>

Per vedere tutti i comandi possibili di net basta digitare net nella cmd.

NBTScan

nbtscan 10.10.1.11

Nmblookup

nmblookup -A 10.10.1.11

Nmap

La scasione di questo servizio la si può fare anche attraverso nmap utilizzando i suoi script, i più rilevanti sono:

 
nmap -sU -p 137 --script nbstat.nse <target>
 
smb-os-discovery.nse
 
broadcast-netbios-master-browser.nse

Capire se Message Signing è abilitato

nmap --script smb2-security-mode -p445 172.30.10.200

Le risposte che ti verranno fornite saranno le seguenti:

  • Disabled → non supportato

  • Enabled but not required → supportato, ma opzionale

  • Required → obbligatorio, senza di quello non comunichi.

Graph View