NMAP 列舉常見網路服務

 NMAP 列舉常見網路服務

找 Windows 最好用的就是透過 SNMP，所以首先尋找網段中有開啟 SNMP 服務的主機

指令 : sudo nmap -sU -p 161 10.10.10.* --open

有兩台 10.10.10.2 / 10.10.10.16

直接針對 10.10.10.16 進行 SNMP 進階掃描

指令 : sudo nmap -sU -sC -sV -p 161 10.10.10.16

預設會直接帶 public / private 進行掃描，可以看到已經全數抓到相關資訊

因已知 SNMP 可以列舉所以可以透過 SNMP 工具進行更完整資訊列舉

指令 : snmp-check 10.10.10.16

此工具與 nmap 大同小異但顯示更為友善，下列可以看到主機資訊與使用者列表

snmp 可以提供的 Windows 資訊詳細度號稱極高，真謂殺人放火的好工具

上一篇也有用過，最常在 Windows 用的就是列舉使用者帳號，透過 nmap script 如下

指令 : sudo nmap -sU -p 161 10.10.10.16 --script snmp-win32-users

將掃描結果另存成檔案 win32-users.txt 供後面破解使用者帳密使用

指令 : sudo nmap -sU -p 161 10.10.10.16 --script snmp-win32-users >> win32-users.txt

先 ls 確認無此檔案 -> 指令輸入直接存成檔案 -> ls 確認檔案生成 -> cat 檔案內容

另外除了 nmap、snmp 工具以外，若目標主機是 windows

則 NetBIOS 掃描也是一個很好的方式，可以使用指令 nbtscan

另如先查找網段中所有主機的名稱

指令 : nbtscan 10.10.10.1-254 (這裡不支援萬用字元)

可以看到 10.10.10.16 主機名稱已經列出如下

當已知 Windows 主機後有另一個好用工具 enum4linux，專門針對 SMB 服務使用

因為 Windows 預設都會開啟 SMB 服務，此服務又是一個漏洞最多與最好訪問的協定

指令 : enum4linux 10.10.10.16

一樣可以列舉出使用者列表如下

但此指令需要權限，所以可以看到許多 Access Deny 的資訊

因為 Windows 從 XP 以後就禁止匿名列舉，所以在未知帳號密碼前還是推薦使用 SNMP

不過已經知道了使用者帳號列表，這時候就可以來破解密碼，使用工具 hydra

指令 : hydra -L win32-users.txt -P /usr/share/wordlists/nmap.lst smb://10.10.10.16

使用之前生成的使用者列表檔案搭配 nmap 預設的密碼字典檔，透過 smb 服務驗證成功與否

原本生成的使用者檔案要修改如下僅剩下使用者帳號即可

hydra 破解使用者密碼如下，前提當然是密碼太弱以及字典檔案中有該密碼

上述使用 enum4linux 匿名出現 Access Deny, 這時候就可以用帳號密碼列舉試試看

本次使用帳號 martin 密碼 apple (上圖中有顯示找出的密碼)

指令 : enum4linux -u martin -p apple -a 10.10.10.16

這一次就可以看到列出許多詳細的資訊

當已知帳號密碼後可以使用的工具就很多，另一個工具如 CrackMapExec

就是一款針對 Windows AD 活動目錄的滲透工具

例如想查看該主機分享的網路資源與權限如下

指令 : crackmapexec smb 10.10.10.16 -u martin -p apple --shares

另外若來源主機是 Windows 且已知帳號密碼後可以透過 net use / net view 來看分享資源

指令 : net use \\10.10.10.16 apple /u:martin  &  net view \\10.10.10.16