首页 > 其他分享 >smb和rdp暴破差异分析

smb和rdp暴破差异分析

时间：2023-08-02 19:35:07浏览次数：43  
标签：0x0 rdp 暴破 NTLM DESKTOP user credentials smb

 

大量smb爆破：

 

smb和rdp暴破差异分析_Data

 

 

详细日志：

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
  <EventID>4625</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12544</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8010000000000000</Keywords>
  <TimeCreated SystemTime="2022-07-28T03:07:32.3129542Z" />
  <EventRecordID>351668</EventRecordID>
  <Correlation ActivityID="{588d7746-a22d-0006-5e77-8d582da2d801}" />
  <Execution ProcessID="1020" ThreadID="564" />
  <Channel>Security</Channel>
  <Computer>DESKTOP-UKRDUMC</Computer>
  <Security />
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-0-0</Data>
  <Data Name="SubjectUserName">-</Data>
  <Data Name="SubjectDomainName">-</Data>
  <Data Name="SubjectLogonId">0x0</Data>
  <Data Name="TargetUserSid">S-1-0-0</Data>
  <Data Name="TargetUserName">admin</Data>
  <Data Name="TargetDomainName">DESKTOP-PTV6LGO</Data>
  <Data Name="Status">0xc000006d</Data>
  <Data Name="FailureReason">%%2313</Data>
  <Data Name="SubStatus">0xc0000064</Data>
  <Data Name="LogonType">3</Data>
  <Data Name="LogonProcessName">NtLmSsp</Data>
  <Data Name="AuthenticationPackageName">NTLM</Data>
  <Data Name="WorkstationName">DESKTOP-PTV6LGO</Data>
  <Data Name="TransmittedServices">-</Data>
  <Data Name="LmPackageName">-</Data>
  <Data Name="KeyLength">0</Data>
  <Data Name="ProcessId">0x0</Data>
  <Data Name="ProcessName">-</Data>
  <Data Name="IpAddress">172.16.111.120</Data>
  <Data Name="IpPort">51304</Data>
  </EventData>
  </Event>
 
https://docs.microsoft.com/zh-cn/windows/security/threat-protection/auditing/event-4625
  <Data Name="SubStatus">0xc0000064</Data>

含义：

0xC0000064

用户使用拼写错误或错误用户帐户进行登录

 

  <Data Name="Status">0xc000006d</Data>

0 xc000006d

似乎是由于系统问题和不安全。

 

 

 

  <Data Name="AuthenticationPackageName">NTLM</Data>

 

 

看看抓包：

 

smb和rdp暴破差异分析_安全分析_02

 

 

可以看到是445端口！！！针对smb2协议的445端口！！！

 

 

 

然后我用rdp爆破试试看差异点：

 

 

smb和rdp暴破差异分析_Data_03

 

 

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
  <EventID>4625</EventID>
  <Version>0</Version>
  <Level>0</Level>
  <Task>12544</Task>
  <Opcode>0</Opcode>
  <Keywords>0x8010000000000000</Keywords>
  <TimeCreated SystemTime="2022-07-28T03:27:52.0182105Z" />
  <EventRecordID>351826</EventRecordID>
  <Correlation ActivityID="{588d7746-a22d-0006-5e77-8d582da2d801}" />
  <Execution ProcessID="1020" ThreadID="6408" />
  <Channel>Security</Channel>
  <Computer>DESKTOP-UKRDUMC</Computer>
  <Security />
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-0-0</Data>
  <Data Name="SubjectUserName">-</Data>
  <Data Name="SubjectDomainName">-</Data>
  <Data Name="SubjectLogonId">0x0</Data>
  <Data Name="TargetUserSid">S-1-0-0</Data>
  <Data Name="TargetUserName">tj</Data>
  <Data Name="TargetDomainName" />
  <Data Name="Status">0xc000006d</Data>
  <Data Name="FailureReason">%%2313</Data>
  <Data Name="SubStatus">0xc000006a</Data>
  <Data Name="LogonType">3</Data>
  <Data Name="LogonProcessName">NtLmSsp</Data>
  <Data Name="AuthenticationPackageName">NTLM</Data>
  <Data Name="WorkstationName">DESKTOP-PTV6LGO</Data>
  <Data Name="TransmittedServices">-</Data>
  <Data Name="LmPackageName">-</Data>
  <Data Name="KeyLength">0</Data>
  <Data Name="ProcessId">0x0</Data>
  <Data Name="ProcessName">-</Data>
  <Data Name="IpAddress">172.16.111.120</Data>
  <Data Name="IpPort">0</Data>
  </EventData>
  </Event>

 

可以看到是密码不对，

0xC000006A

用户使用拼写错误或错误密码进行登陆

 

 

Smb那个是用户名不对！

 

但是二者都是NTLM，所以从AuthenticationPackageName上无法区分rdp和smb爆破。


抓包看看：

 

smb和rdp暴破差异分析_安全分析_04

 

 

因为源端口是0，所以无法准确关联。



Login type 3都是远程网络登录方式。

Table 11: Windows Logon Types

Logon Type

Logon Title

Description

2

Interactive

A user logged on to this computer.

3

Network

A user or computer logged on to this computer from the network.

4

Batch

Batch logon type is used by batch servers, where processes may be executing on behalf of a user without their direct intervention.

5

Service

A service was started by the Service Control Manager.

7

Unlock

This workstation was unlocked.

8

NetworkCleartext

A user logged on to this computer from the network. The user's password was passed to the authentication package in its unhashed form. The built-in authentication packages all hash credentials before sending them across the network. The credentials do not traverse the network in plaintext (also called cleartext).

9

NewCredentials

A caller cloned its current token and specified new credentials for outbound connections. The new logon session has the same local identity, but uses different credentials for other network connections.

10

RemoteInteractive

A user logged on to this computer remotely using Terminal Services or Remote Desktop.

11

CachedInteractive

A user logged on to this computer with network credentials that were stored locally on the computer. The domain controller was not contacted to verify the credentials.



注意：我是局域网里的暴破。

NTLM是NT LAN Manager的缩写，这也说明了协议的来源。 NTLM 是指telnet 的一种验证身份方式，即问询/应答身份验证协议，是Windows NT 早期版本的标准安全协议，Windows 2000 支持NTLM 是为了保持向后兼容。 Windows 2000内置三种基本安全协议之一。

但是实际看，远程rdp暴破也是ntlm，

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" /> 
  <EventID>4625</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>12544</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8010000000000000</Keywords> 
  <TimeCreated SystemTime="2022-07-28T03:54:10.2403785Z" /> 
  <EventRecordID>351961</EventRecordID> 
  <Correlation ActivityID="{588d7746-a22d-0006-5e77-8d582da2d801}" /> 
  <Execution ProcessID="1020" ThreadID="12228" /> 
  <Channel>Security</Channel> 
  <Computer>DESKTOP-UKRDUMC</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-0-0</Data> 
  <Data Name="SubjectUserName">-</Data> 
  <Data Name="SubjectDomainName">-</Data> 
  <Data Name="SubjectLogonId">0x0</Data> 
  <Data Name="TargetUserSid">S-1-0-0</Data> 
  <Data Name="TargetUserName">tj</Data> 
  <Data Name="TargetDomainName" /> 
  <Data Name="Status">0xc000006d</Data> 
  <Data Name="FailureReason">%%2313</Data> 
  <Data Name="SubStatus">0xc000006a</Data> 
  <Data Name="LogonType">3</Data> 
  <Data Name="LogonProcessName">NtLmSsp</Data> 
  <Data Name="AuthenticationPackageName">NTLM</Data> 
  <Data Name="WorkstationName">DESKTOP-PTV6LGO</Data> 
  <Data Name="TransmittedServices">-</Data> 
  <Data Name="LmPackageName">-</Data> 
  <Data Name="KeyLength">0</Data> 
  <Data Name="ProcessId">0x0</Data> 
  <Data Name="ProcessName">-</Data> 
  <Data Name="IpAddress">172.16.111.120</Data> 
  <Data Name="IpPort">0</Data> 
  </EventData>
  </Event>

 公网暴破smb的话，一直提示网络无法接通，

hydra.exe -l xxx -P password.txt -vV smb://1xxxxxx
Hydra v9.1 (c) 2020 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2022-07-28 12:01:43
[INFO] Reduced number of tasks to 1 (smb does not like parallel connections)
[WARNING] Restorefile (you have 10 seconds to abort... (use option -I to skip waiting)) from a previous session found, to prevent overwriting, ./hydra.restore
[DATA] max 1 task per 1 server, overall 1 task, 108 login tries (l:1/p:108), ~108 tries per task
[DATA] attacking smb://1xxxxxxx:445/
[VERBOSE] Resolving addresses ... [VERBOSE] resolving done
Process 823: Can not connect [unreachable], retrying (1 of 1 retries)
Process 823: Can not connect [unreachable]
[ERROR] could not connect to target smb://1xxxxxx:445/

 

 

参考：

SMB配置 https://zhuanlan.zhihu.com/p/110788184

Hydra使用

标签：0x0,rdp,暴破,NTLM,DESKTOP,user,credentials,smb
From： https://blog.51cto.com/u_11908275/6941827

相关文章

  • 使用UDP和RDP共享电脑屏幕和声音
    publicpartialclassForm1:Form{privateWasapiLoopbackCapturemic;//音频输入protectedRDPSession_rdpSession=null;publicForm1(){InitializeComponent();}staticThreadreceiveThrea......
  • SMB实现局域网内设备的共享
    SMB实现局域网内设备的共享SMB概述服务器讯息区块（ServerMessageBlock，缩写为SMB），又称网路文件共享系统（CommonInternetFileSystem，缩写为CIFS,/ˈsɪfs/），一种应用层网络传输协议，由微软开发，主要功能是使网络上的机器能够共享计算机文件、打印机、串行端口和通讯等资源。它也提供......
  • WordPress Qui-Pure V2.4发布纯文本/图文博客主题正式发布！
    主题介绍：Qui-Pure是我开发的第一款主题，纯文本展示博客类型，后台控制是否加载图片/轮播图，页面布局改成图文排版！兼容erphpdown，加入个人中心，由于技术学习来源互联网，WordPress是开源平台，因此主题免费回报大家，希望大家喜欢这款简约至上的主题！主题免费、免费、免费...主题功能：1.......
  • Wordpress：在Fastcomet中如何进行网站备份？
    使用Fastcomet平台搭建Wordpress网站后，为了安全，需要进行备份，如何操作呢？步骤如下：1.登陆Fastcomet后台后，点击网站后面的AccesscPanel，进入网站面板管理； 2.选择cPanel下的WPToolkit选项，点击Backup/Restore 3.侧边弹出的面板中，点击BackUp，底部会出现进度条，等待备份OK后，会......
  • 【wordpress开发必备】新增必填字段相关函数和钩子，适用6.1版本
    当表单包含多个必填字段时，它们的标签可能带有一个带有图例的星号，以说明这些字段是必填的。为了减少代码重复并帮助维护全局一致的标记，WordPress有两个新函数：wp_required_field_indicator()和wp_required_field_message()。如果主题和插件至少需要 WordPress6.1，它们也可以使用这......
  • SMB协议实现局域网之间文件传输
    一、背景为解决历史资料存储位置分散（局域网不同服务器），管理人员众多，资料管理仍保留在传统ftp管理阶段等问题，开展对历史资料管理功能，具体需求功能因为保密协议就不在阐述，本次只针对技术局域网之间传输技术进行讨论；二、技术对比访问局域网中共享信息有两种方式，网络映射、SMB协议访......
  • wordpress pwnscriptum
    vulhub/wordpress/pwnscriptum/README.zh-cn.mdatmaster·vulhub/vulhub·GitHub(191条消息)漏洞复现-Wordpress4.6PwnScriptumRCE命令执行_wordpressrce_amingMM的博客-CSDN博客1、介绍名称：Wordpress4.6任意命令执行漏洞编号：原理：漏洞缺陷处在后台找回密码的地......
  • wordpress 插件 woocommerce自定义订单信息验证
    使用php钩子函数增加自定义验证add_action('woocommerce_after_checkout_validation',function($fields){if($fields['billing_phone']&&!preg_match('/^((\+1|1)?(|-)?)?(\([2-9][0-9]{2}\)|[2-9][0-9]{2})(|-)?([2-9][0-9]{2}(|-)?[0-9......
  • 反射 p5 反射相关使用和暴破
    反射相关使用和暴破通过反射创建对象方式一：调用类中的public修饰的无参构造器；方式二：调用类中的指定构造器；Class类相关方法：newInstance()：调用类中的无参构造器，获取对应类的对象；getConstructor(Class...clazz)：根据参数列表，获取对应的public构造器对象；getDecalaredConstruct......
  • smbclient
    smbclient交互方式访问samba服务器补充说明smbclient命令属于samba套件，它提供一种命令行使用交互式方式访问samba服务器的共享资源。语法smbclient(选项)(参数)选项-B<ip地址>：传送广播数据包时所用的IP地址；-d<排错层级>：指定记录文件所记载事件的详细程度；-E：将信息送到标......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99