web-dev-qa-db-fra.com

Rechercher l'état SMBv1 avec Nmap

Existe-t-il un moyen prêt avec l'option de script de nmap pour trouver des machines avec SMB 1 toujours activé côté serveur? Il serait beaucoup plus rapide pour moi de surveiller ma correction si elle est disponible.

Je préfère ne pas avoir à exécuter une analyse OpenVAS complète pour cette seule information.

nmapsmb
5
Tim Brigham

Il n'y a actuellement aucun script pour vérifier cela. Ce serait un changement trivial par rapport à l'existant smbv2-enabled script. Actuellement, le script a trois sorties possibles:

  • Aucune sortie: SMB d'une version quelconque a échoué.
  • "Le serveur prend en charge le protocole SMBv2": le serveur prend en charge au moins SMBv2, éventuellement aussi SMBv1.
  • "Le serveur ne prend pas en charge le protocole SMBv2": le serveur prend en charge SMBv1 mais pas SMBv2.

Comme vous pouvez le voir, il existe une certaine ambiguïté quant à savoir si un hôte compatible SMBv2 prendrait également en charge SMBv1. Mais modifier le script pour tester tour à tour chaque dialecte serait assez simple.

EDIT: Cela arrive à Nmap bientôt. https://github.com/nmap/nmap/pull/94

EDIT 2: Ceci est désormais pris en charge dans Nmap 7.60 par le smb-protocols script.

8
bonsaiviking

J'ai pu créer un smbv1-enabled.nse semi-fonctionnel en prenant le script compatible smbv2 et en supprimant tous les autres dialectes, ne laissant que NT LM .12

N'oubliez pas que SMBv1 est vraiment NT LM .12

Une fois que vous avez fait cela, vous obtiendrez l'un des deux résultats. Si SMBv1 est activé sur le serveur, vous obtiendrez une erreur bidon indiquant que le serveur ne prend pas en charge smbv2; si SMBv1 est désactivé, vous n'obtiendrez aucun message (car la poignée de main SMB échoue).

2
AprilMJ

Il y a un script appelé smb-vuln-ms08-067 & smb-vuln-cve2009-3103 contrairement aux autres réponses. Vous pouvez l'utiliser via nmap -sU --script smb-vuln-ms08-067.nse -p U:137 <Host> ou nmap --script smb-vuln-ms08-067.nse -p445 <Host>

nmap --script smb-os-discovery.nse -p445 127.0.0.1 détectera l'hôte et le protocole, il vous suffira d'utiliser grep pour voir s'il est toujours pris en charge par smbv1.

Pour la dernière détection d'exploit SMBv2, utilisez: https://github.com/countercept/doublepulsar-c2-traffic-decryptor

Exemple d'utilisation

nmap --script smb-vuln-ms08-067.nse -p445 nmap -sU --script smb-vuln-ms08-067.nse -p U: 137

Nécessite

msrpc nmap smb stdnse chaîne de caractères vulns

Référence: https://nmap.org/nsedoc/scripts/smb-vuln-ms08-067.html

2
Shritam Bhowmick