ANTICHAT — форум по информационной безопасности, OSINT и технологиям

В публичном доступе находится полнофункциональный эксплоит к уязвимости в реализации протокола SMB в Microsoft Windows. Проблема заключается в том, что NTLM позволяет пользователям отвечать на входящие подключения от других хостов и удачно аутентифицироваться на системе без знания пароля. Таким образом, если пользователь подключается к удаленной системе с помощью NTLM, существует возможность компрометации системы пользователя.

Эта аутентификационная схема используется в большом количестве протоколов, например HTTP. Также, существует функционал, позволяющий браузеру (iexplore) или системе (explorer) по умолчанию отправлять аутентификационные данные серверу, если сервер требует аутентификацию.

Smbrelay3 – утилита, которая позволяет злоумышленнику произвести следующие типы атак:

HTTP –> SMB – соединение с браузером и передача данных на SMB хост
SMB -> SMB – соединение с SMB системой и передача данных на другой хост
IMAP -> SMB – соединение с почтовым IMAP клиентом и передача данных на другой хост
POP3 -> SMB – соединение с почтовым POP3 клиентом и передача данных на другой хост
SMTP -> SMB – соединение с почтовым SMTP клиентом и передача данных на другой хост

Если полученные утилитой учетные данные принадлежат администратору системы, Smbrelay3 автоматически создает удаленную консоль на уязвимой системе.

Пример атаки:

Smbrelay3 можно скачать по адресу:
хэк

В настоящий момент в публичном доступе находятся следующие эксплоиты к уязвимости MS08-068:
MS Windows SMBRelay MitM Attack Exploit (MS08-068)
Microsoft Windows SMB Relay Code Execution Exploit (MS08-068)
Microsoft Windows SMB Relay Code Execution Exploit #3 (MS08-068)

Для удачной эксплуатации уязвимости целевой пользователь должен подключиться к злонамеренному серверу.