SMB Attack Chain σε Kali Linux: nmap, enum4linux-ng, smbclient & hydra — Από τη Χαρτογράφηση του Δικτύου στο Flag

Εισαγωγή: γιατί το SMB παραμένει ο πιο «γόνιμος» στόχος σε εσωτερικά δίκτυα

Στα περισσότερα εταιρικά δίκτυα, το πρωτόκολλο SMB (Server Message Block) — η καρδιά του file sharing σε Windows και Samba, στη θύρα 445/TCP — είναι ταυτόχρονα απαραίτητο και επικίνδυνο. Είναι απαραίτητο επειδή πάνω του στηρίζονται κοινόχρηστοι φάκελοι, εκτυπωτές, deployment shares, προφίλ χρηστών και αμέτρητες εσωτερικές ροές εργασίας. Είναι επικίνδυνο επειδή, όταν παραμείνει με προεπιλεγμένες ρυθμίσεις, με ενεργοποιημένο το ξεπερασμένο SMBv1, με null sessions, με «ανοιχτά» shares και με αδύναμους κωδικούς, μετατρέπεται στην ευκολότερη διαδρομή για έναν επιτιθέμενο που έχει ήδη πατήσει το πόδι του στο δίκτυο.

TL;DR (EN): An SMB/network attack chain in an isolated lab: nmap, enum4linux-ng, smbclient and hydra, from network mapping and share enumeration to a brute-forced credential and the flag — with each tool’s flags, MITRE mapping and SMB hardening defenses.

Η αξία, όμως, στην πραγματική επιθετική ασφάλεια δεν βρίσκεται στο να τρέξεις ένα εργαλείο και να παραδώσεις μια λίστα ευρημάτων. Βρίσκεται στην ικανότητα να ενώνεις βήματα: μια θύρα που ακούει οδηγεί σε ένα banner· το banner αποκαλύπτει ότι μιλάμε σε Samba· μια null session αποκαλύπτει shares· ένα world-readable share διαρρέει ένα όνομα χρήστη· το όνομα χρήστη γίνεται στόχος για password guessing· ο αδύναμος κωδικός σπάει· και ο κωδικός σε κάνει κάτοχο των «εμπιστευτικών» αρχείων. Αυτή η λογική — η kill chain — είναι που ξεχωρίζει την πραγματική αξιολόγηση ανθεκτικότητας από το θεατρικό «scan and report».

Σε αυτό το flagship άρθρο των Audax Labs στήνουμε μια ολοκληρωμένη, ρεαλιστική δικτυακή αλυσίδα επίθεσης εναντίον μιας υπηρεσίας SMB, χρησιμοποιώντας τέσσερα εργαλεία που κάθε σοβαρός επαγγελματίας κυβερνοασφάλειας πρέπει να γνωρίζει σε βάθος:

1. nmap — για port scanning και service/version detection, ώστε να βρούμε ότι υπάρχει SMB και ποιο implementation το σερβίρει.
2. enum4linux-ng — για απαρίθμηση του SMB/Samba: dialects, null session, λειτουργικό σύστημα, όνομα υπολογιστή, πολιτικές.
3. smbclient — για σύνδεση στα shares, λίστα και ανάγνωση αρχείων, εντοπισμό της διαρροής και τελικά ανάκτηση του flag.
4. hydra — για στοχευμένο brute-force ενός αδύναμου SMB credential από ένα μικροσκοπικό, εργαστηριακό wordlist.

Και στη συνέχεια, με το σπασμένο credential, αυθεντικοποιούμαστε στο προστατευμένο share και κατακτούμε το flag. Το σενάριο ακολουθεί μια αφήγηση πέντε κινήσεων: discover -> enumerate -> access -> guess -> read.

Αντίθετα με ένα απλό «πώς-να», εξηγούμε τι κάνει το κάθε εργαλείο, ποιες είναι οι σημαντικότερες παράμετροί του και ποια ακριβώς εντολή τρέξαμε — μαζί με τα πραγματικά αποτελέσματα (σε αποστειρωμένα, αναγνώσιμα screenshots). Κλείνουμε με αντιστοίχιση σε MITRE ATT&CK και με μια σκληρή, πρακτική ενότητα άμυνας: πώς σταματάτε κάθε ένα από αυτά τα βήματα στο δικό σας περιβάλλον.

Το σενάριο και το εργαστήριο

Ο στόχος μας, ο MELTEMI-FS01, είναι ένας μικρός file server μιας φανταστικής εταιρείας logistics («Meltemi Logistics AE»). Πάνω του τρέχει Samba 4.19.5 με δύο shares: ένα public, προσβάσιμο ανώνυμα (null session), και ένα private, το οποίο απαιτεί έγκυρα credentials. Το public περιέχει ένα φαινομενικά αθώο README.txt που, όπως συμβαίνει τόσο συχνά στην πραγματικότητα, «ξεχνάει» μέσα του χρήσιμες πληροφορίες: ονόματα ενεργών λογαριασμών και τη νύξη ότι τα ευαίσθητα δεδομένα ζουν στο private share. Ο λογαριασμός hr_admin έχει έναν αδύναμο κωδικό (Summer2023) — ακριβώς τον τύπο κωδικού που κάθε επιτιθέμενος δοκιμάζει πρώτο. Ένας δεύτερος λογαριασμός, ο g.pappas, έχει έναν ισχυρό κωδικό εκτός λεξικού, ώστε να δείξουμε ρεαλιστικά ότι δεν σπάνε όλα.

Τοπολογία

Ολόκληρο το εργαστήριο ζει σε έναν host, με τη μηχανή επίθεσης και τον στόχο στο ίδιο μηχάνημα, χωρίς καμία γέφυρα προς LAN ή Internet. Η ταυτότητα του χειριστή είναι απόλυτα ουδέτερη (kali@lab). Ο Samba server είναι δεσμευμένος στο interface loopback και δεν εκθέτει καμία θύρα εκτός του host.

Ειλικρινείς διευκρινίσεις για την απομόνωση και τη θύρα. Η αρχική πρόθεση ήταν ο στόχος να τρέξει σε Docker, σε ένα internal bridge χωρίς δημοσιευμένες πόρτες. Στο συγκεκριμένο περιβάλλον ο Docker daemon δεν ήταν διαθέσιμος (ήταν ανενεργός και δεν υπήρχε δικαίωμα εκκίνησης χωρίς sudo). Ακολουθήσαμε λοιπόν την τίμια εναλλακτική: εκτέλεση ενός πραγματικού Samba smbd δεσμευμένου στο loopback. Επιπλέον, η κανονική θύρα του SMB (445) είναι προνομιακή και απαιτεί root· επειδή το lab τρέχει χωρίς δικαιώματα root (και τα user namespaces ήταν κλειδωμένα), δέσαμε την υπηρεσία στη μη-προνομιακή θύρα 4455. Κάθε εργαλείο στοχεύεται ρητά σε αυτή τη θύρα. Το πρωτόκολλο και η συμπεριφορά είναι πανομοιότυπα με ένα κανονικό SMB στο 445 — απλώς το δηλώνουμε ρητά αντί να το κρύψουμε. Για να τρέξει ο Samba χωρίς root χρησιμοποιήσαμε τη γνωστή τεχνική nss_wrapper (την ίδια που χρησιμοποιεί το επίσημο test suite του Samba), με έναν πλασματικό λογαριασμό hr_admin, ώστε καμία πραγματική ταυτότητα του host να μην εμπλέκεται στο lab.

Το εργαστήριο περιλαμβάνει επίσης ένα μικροσκοπικό wordlist που φτιάξαμε ειδικά (wl/smb-lab.txt), με μια χούφτα «τυπικών εταιρικών» αδύναμων κωδικών — ανάμεσά τους ο σωστός (Summer2023), αλλά όχι ο ισχυρός κωδικός του g.pappas. Αυτό μας επιτρέπει να δείξουμε τόσο την επιτυχία (θετικό control) όσο και την αποτυχία (negative control) του hydra.

Εργαλείο 1 — nmap: χαρτογράφηση θύρας και ταυτοποίηση της υπηρεσίας SMB

Τι είναι και πού ταιριάζει

Το nmap (Network Mapper) είναι το de facto εργαλείο ανακάλυψης δικτύου και ελέγχου θυρών. Στην πράξη είναι το πρώτο βήμα σχεδόν κάθε engagement: πριν επιτεθείς σε κάτι, πρέπει να ξέρεις τι υπάρχει, ποιες θύρες είναι ανοιχτές και ποιες υπηρεσίες τρέχουν πίσω τους. Το nmap δεν είναι απλός port scanner· με το -sV κάνει service/version detection, στέλνοντας probes και ταιριάζοντας τις απαντήσεις σε μια τεράστια βάση υπογραφών. Για ένα δικτυακό assessment, το nmap είναι που μετατρέπει το «υπάρχει κάτι ανοιχτό στο 445» σε «αυτό είναι ένας Samba smbd σε workgroup WORKGROUP με hostname MELTEMI-FS01».

Πού ταιριάζει: στην αρχή της αλυσίδας. Μετατρέπει ένα «δεν ξέρω τίποτα» σε «ξέρω ότι υπάρχει μια υπηρεσία SMB και ξέρω ποιο implementation».

Σημαντικές παράμετροι / flags

Η εντολή που τρέξαμε

nmap -sV -p 4455 127.0.0.1

Το nmap αναγνώρισε την ανοιχτή θύρα και — το κρίσιμο — ταυτοποίησε την υπηρεσία ως Samba smbd 3.X – 4.X (workgroup: WORKGROUP), ενώ το Service Info αποκάλυψε το hostname MELTEMI-FS01.

Αυτό είναι πραγματικό output από το εργαστήριο. Σε ένα μόνο βήμα ξέρουμε ήδη: υπάρχει υπηρεσία SMB, την τρέχει Samba (άρα Linux/Unix, όχι Windows), και έχουμε το όνομα του υπολογιστή. Μια τίμια, χρήσιμη λεπτομέρεια: επειδή στο lab το SMB ακούει σε μη-τυπική θύρα, τα εξειδικευμένα SMB NSE scripts (smb-os-discovery, smb-enum-shares κ.λπ.) — που από σχεδιασμό «κλειδώνουν» στις θύρες 139/445 — δεν ενεργοποιούνται αυτόματα. Σε ένα πραγματικό engagement με SMB στο 445, τα scripts αυτά τρέχουν κανονικά και δίνουν επιπλέον πληροφορία· εδώ τη δουλειά της απαρίθμησης την αναλαμβάνει πλήρως το επόμενο, εξειδικευμένο εργαλείο.

Εργαλείο 2 — enum4linux-ng: απαρίθμηση του SMB/Samba

Τι είναι και πού ταιριάζει

Το enum4linux-ng είναι μια σύγχρονη επανεγγραφή (σε Python) του θρυλικού enum4linux.pl. Είναι, στην ουσία, ένας έξυπνος «wrapper» γύρω από τα εργαλεία του Samba (nmblookup, net, rpcclient, smbclient) που αυτοματοποιεί όλη τη διαδικασία απαρίθμησης ενός SMB host: ελέγχει αν το SMB (ή το LDAP) είναι προσβάσιμο, δοκιμάζει null session (ανώνυμη σύνδεση), εξάγει τα υποστηριζόμενα dialects (SMB 1.0 έως 3.1.1), το λειτουργικό σύστημα, το όνομα του υπολογιστή, και — όπου το επιτρέπει ο στόχος — χρήστες, ομάδες, shares και password policy μέσω RPC. Μπορεί επίσης να εξάγει τα αποτελέσματα σε JSON/YAML για μετέπειτα επεξεργασία.

Πού ταιριάζει: αμέσως μετά το nmap. Το nmap σου λέει «υπάρχει SMB»· το enum4linux-ng σου λέει «είναι Samba 4.19.5, δέχεται null session, έχει ενεργό SMBv1, και το hostname είναι MELTEMI-FS01». Αυτή η πληροφορία καθορίζει το πλάνο επίθεσης.

Σημαντικές παράμετροι / flags

Η εντολή που τρέξαμε

enum4linux-ng -A 127.0.0.1

Το enum4linux-ng επιβεβαίωσε ότι το SMB είναι προσβάσιμο, εξήγαγε τα υποστηριζόμενα dialects (με το SMB 1.0 να είναι ενεργό — άμεση κόκκινη σημαία), βρήκε το όνομα υπολογιστή MELTEMI-FS01, επιβεβαίωσε ότι ο server επιτρέπει ανώνυμη αυθεντικοποίηση (null session) και ταυτοποίησε το λειτουργικό ως Linux/Unix (Samba 4.19.5-Ubuntu).

Το δίδαγμα εδώ είναι διπλό. Πρώτον, η null session είναι δώρο για τον επιτιθέμενο: του επιτρέπει να απαριθμήσει τον server χωρίς κανένα credential. Δεύτερον, η παρουσία του SMBv1 είναι από μόνη της κρίσιμο εύρημα — το πρωτόκολλο αυτό συνδέεται με ολόκληρη οικογένεια exploits (θυμηθείτε το EternalBlue) και θα έπρεπε να έχει απενεργοποιηθεί εδώ και χρόνια.

Μια σημαντική, τίμια διευκρίνιση για την πληρότητα: σε αυτό το non-root, «φορητό» setup του Samba, το κομμάτι του DCERPC (τα helper daemons που σερβίρουν SRVSVC/SAMR) δεν ήταν διαθέσιμο, οπότε οι RPC-based έλεγχοι για λίστα χρηστών, ομάδων και password policy επέστρεψαν άδεια/σφάλμα. Δεν το κρύβουμε — το καταγράφουμε. Στην πράξη, αυτό δεν σταματά την αλυσίδα: η απαρίθμηση των shares και η διαρροή του ονόματος χρήστη θα έρθουν από το επόμενο εργαλείο (smbclient), όπως συμβαίνει συχνά και σε πραγματικούς, σκληρά ρυθμισμένους στόχους όπου το RPC enumeration είναι περιορισμένο.

Εργαλείο 3 — smbclient: σύνδεση σε shares, λίστα και ανάγνωση αρχείων

Τι είναι και πού ταιριάζει

Το smbclient είναι ο «ftp-like» client του Samba για SMB. Είναι το εργαλείο με το οποίο συνδέεσαι σε ένα share σαν να ήταν ένα απομακρυσμένο filesystem: κάνεις ls, get, put, cd κ.λπ. Είναι απαραίτητο για δύο πράγματα σε ένα SMB assessment: (α) την απαρίθμηση των shares (-L), και (β) την πραγματική πρόσβαση στο περιεχόμενό τους — να δεις τι διαβάζεται ανώνυμα, τι απαιτεί credentials, και τι κρύβεται μέσα στα αρχεία.

Πού ταιριάζει: αμέσως μετά την απαρίθμηση. Το enum4linux-ng σου δίνει την «εικόνα» του server· το smbclient είναι που «μπαίνει μέσα» και αγγίζει τα δεδομένα.

Σημαντικές παράμετροι / flags

Η εντολή που τρέξαμε

Πρώτα απαριθμούμε τα shares και μετά συνδεόμαστε ανώνυμα στο public:

smbclient -L //127.0.0.1 -N -p 4455
smbclient //127.0.0.1/public -N -p 4455 -c 'ls; get README.txt'
smbclient //127.0.0.1/private -N -p 4455 -c 'ls'

Το smbclient απαρίθμησε τρία shares: public, private και IPC$. Η ανώνυμη σύνδεση στο public διάβασε το README.txt, το οποίο — όπως τόσο συχνά στην πραγματικότητα — διέρρευσε ενεργά ονόματα χρηστών (hr_admin, g.pappas) και επιβεβαίωσε ότι τα ευαίσθητα δεδομένα ζουν στο private. Η προσπάθεια ανώνυμης σύνδεσης στο private, αντίθετα, απορρίφθηκε καθαρά με NT_STATUS_ACCESS_DENIED.

Το δίδαγμα εδώ είναι από τα πιο διαχρονικά της κυβερνοασφάλειας: ένα world-readable share σπάνια είναι «άδειο». Σημειώσεις IT, παλιά backups, αρχεία ρυθμίσεων, λίστες χρηστών — όλα καταλήγουν εκεί «προσωρινά» και μένουν για χρόνια. Ο επιτιθέμενος δεν χρειάζεται exploit· χρειάζεται απλώς να διαβάσει. Και τώρα έχει αυτό που του λείπει: ένα έγκυρο όνομα χρήστη (hr_admin) και έναν προστατευμένο στόχο (private).

Εργαλείο 4 — hydra: στοχευμένο password guessing στο SMB

Τι είναι και πού ταιριάζει

Το hydra (THC-Hydra) είναι ένα από τα πιο γνωστά εργαλεία online password attacks. «Online» σημαίνει ότι δεν σπάει hashes offline· δοκιμάζει credentials ζωντανά εναντίον μιας υπηρεσίας — SSH, FTP, HTTP forms, RDP, και φυσικά SMB. Υποστηρίζει δεκάδες πρωτόκολλα, παραλληλισμό, λίστες χρηστών και κωδικών, και είναι το κατεξοχήν εργαλείο για να απαντήσεις στην ερώτηση «αντέχει αυτός ο λογαριασμός σε ένα λεξικό αδύναμων κωδικών;».

Πού ταιριάζει: όταν έχεις ήδη ένα έγκυρο όνομα χρήστη (εδώ, μέσω της διαρροής στο public) και μια υπηρεσία που δέχεται authentication. Το hydra είναι χειρουργικό εργαλείο: το σωστό είναι να το στρέψεις σε έναν χρήστη με ένα μικρό, στοχευμένο wordlist, όχι να «ψεκάσεις» τυφλά χιλιάδες συνδυασμούς (κάτι που είναι θορυβώδες και επικίνδυνο για την ευστάθεια/τα lockouts).

Σημαντικές παράμετροι / flags

Η εντολή που τρέξαμε

Στοχεύουμε τον χρήστη hr_admin που διέρρευσε, με το μικροσκοπικό εργαστηριακό wordlist:

hydra -l hr_admin -P wl/smb-lab.txt -s 4455 smb://127.0.0.1

Το hydra δοκίμασε τους οκτώ κωδικούς του wordlist και εντόπισε τον σωστό: hr_admin : Summer2023. Για να αποδείξουμε ότι το αποτέλεσμα είναι αξιόπιστο και όχι false positive, τρέξαμε και ένα negative control — ένα wordlist που περιέχει μόνο λανθασμένους κωδικούς — το οποίο, σωστά, βρήκε μηδέν έγκυρους κωδικούς.

Το δίδαγμα: ένας μόνο προβλέψιμος κωδικός («Εποχή+Έτος», ο πιο κλασικός εταιρικός αντι-pattern) ακυρώνει όλη την υπόλοιπη υποδομή. Ο hr_admin έχει πλέον «σπάσει». Ταυτόχρονα, το γεγονός ότι ο g.pappas (με ισχυρό κωδικό εκτός λεξικού) θα άντεχε, δείχνει ότι το μέτρο δεν είναι μαγικό: η ποιότητα του κωδικού και η ύπαρξη lockout είναι που κρίνουν.

Ενώνοντας την αλυσίδα: από τη θύρα στο flag

Ας δούμε τώρα ολόκληρη την αλυσίδα ως ενιαία αφήγηση. Κάθε βήμα τροφοδοτεί το επόμενο:

1. discover (nmap): Βρήκαμε ανοιχτή υπηρεσία SMB και την ταυτοποιήσαμε ως Samba smbd, με hostname MELTEMI-FS01.
2. enumerate (enum4linux-ng): Επιβεβαιώσαμε null session, ενεργό SMBv1, OS = Samba 4.19.5 — επιβεβαίωση ότι ο στόχος είναι «μαλακός».
3. access (smbclient): Απαριθμήσαμε τα shares, διαβάσαμε ανώνυμα το public, διαρρεύσαμε το όνομα hr_admin, και επιβεβαιώσαμε ότι το private απαιτεί credentials.
4. guess (hydra): Σπάσαμε τον αδύναμο κωδικό hr_admin:Summer2023 (με επιβεβαιωμένο negative control).
5. read (smbclient auth): Με τα credentials, συνδεθήκαμε στο private και κατακτήσαμε το flag.

Το τελικό βήμα — η αυθεντικοποιημένη σύνδεση και η ανάγνωση του flag:

smbclient //127.0.0.1/private -U 'hr_admin%Summer2023' -p 4455 -c 'ls; get flag.txt'

Και το περιεχόμενο του αρχείου είναι ο στόχος μας:

flag{audax_lab_smb_nmap_enum4linux_smbclient_hydra_2026}

Ολόκληρη η αλυσίδα, συνοπτικά, με τα βήματα και την αντιστοίχιση σε MITRE ATT&CK:

Αυτό είναι το ουσιαστικό μάθημα ενός σοβαρού network penetration testing: μερικές «μέτριες» αδυναμίες (ένα ενεργό SMBv1, μια null session, ένα world-readable share που διαρρέει usernames, ένας αδύναμος κωδικός χωρίς lockout) συνδυάζονται σε πλήρη πρόσβαση σε εμπιστευτικά δεδομένα. Κανένα από αυτά μόνο του δεν θα φαινόταν «critical» σε ένα αυτόματο scanner. Η αλυσίδα, όμως, είναι κρίσιμη.

MITRE ATT&CK: mini-mapping της αλυσίδας

Η αντιστοίχιση σε τεχνικές του MITRE ATT&CK βοηθά τις blue teams να καταλάβουν τι να ανιχνεύσουν σε κάθε στάδιο:

Αυτή η μικρή χαρτογράφηση είναι εξαιρετικά χρήσιμη σε ένα report: μεταφράζει την «ιστορία της επίθεσης» σε γλώσσα που καταλαβαίνουν τόσο η τεχνική ομάδα όσο και η διοίκηση, και δείχνει ότι για κάθε βήμα υπάρχει σημείο ανίχνευσης και σημείο άμυνας.

Επαλήθευση

Για να είναι το αποτέλεσμα αξιόπιστο και όχι «τυχαίο», εφαρμόσαμε επαληθεύσεις σε κάθε στάδιο:

• nmap: Η ταυτοποίηση «Samba smbd» επιβεβαιώθηκε από την ίδια τη διαπραγμάτευση SMB· διασταυρώθηκε χειροκίνητα με smbclient -L, που συνδέθηκε επιτυχώς στην ίδια υπηρεσία/θύρα.
• enum4linux-ng: Η null session και τα dialects επιβεβαιώθηκαν ανεξάρτητα με smbclient -N (ανώνυμη σύνδεση που πέτυχε) και με έλεγχο του διαθέσιμου SMB1/SMB2/SMB3.
• smbclient: Η διαρροή του README.txt είναι το πραγματικό περιεχόμενο του αρχείου· η άρνηση στο private επιβεβαιώθηκε ως καθαρό NT_STATUS_ACCESS_DENIED για ανώνυμη σύνδεση.
• hydra: Θετικό control (σωστός κωδικός στο wordlist -> βρέθηκε Summer2023) και αρνητικό control (wordlist μόνο με λάθος κωδικούς -> «0 valid password found»), ώστε να αποκλειστεί το ενδεχόμενο ο server να «λέει ναι» σε οτιδήποτε. Επιπλέον, ο ισχυρός κωδικός του g.pappas παρέμεινε άθικτος, αποδεικνύοντας ότι το εργαλείο δεν «εφευρίσκει» αποτελέσματα.
• flag: Θετικό control (σωστά credentials -> ανάγνωση flag.txt) έναντι του αρνητικού control του προηγούμενου βήματος (null session -> access denied), ώστε να είναι σαφές ότι η πρόσβαση οφείλεται πράγματι στο σπασμένο credential.

Αντιμετώπιση προβλημάτων (troubleshooting)

Κατά το στήσιμο συναντήσαμε αρκετά πραγματικά εμπόδια, τα οποία καταγράφουμε με ειλικρίνεια — γιατί ακριβώς αυτά είναι που ξεχωρίζουν ένα πραγματικό lab από ένα «στημένο» screenshot:

• Docker μη διαθέσιμος. Ο daemon ήταν ανενεργός και δεν υπήρχε δικαίωμα εκκίνησης. Λύση: εκτέλεση πραγματικού Samba smbd δεσμευμένου στο loopback — δηλωμένο ρητά.
• Θύρα 445 και δικαιώματα root. Το 445 είναι προνομιακή θύρα· χωρίς root (και με κλειδωμένα user namespaces, ώστε να μην μπορούμε να πάρουμε capability σε network namespace) δεν δεσμεύεται. Λύση: μη-προνομιακή θύρα 4455, με ρητή στόχευση όλων των εργαλείων εκεί.
• Samba χωρίς root. Ο Samba κανονικά θέλει root και υπαρκτούς Unix λογαριασμούς. Λύση: nss_wrapper (η επίσημη τεχνική του selftest του Samba) με πλασματικά accounts (hr_admin, g.pappas, smbguest) — έτσι καμία πραγματική ταυτότητα δεν μπήκε στο lab.
• Όριο μήκους unix socket (108 χαρακτήρες). Το πολύ μακρύ path του lab έσπαγε τα runtime sockets του Samba με «File name too long». Λύση: μετακίνηση των runtime directories (lock/state/cache/ncalrpc) σε σύντομο path (/tmp/als), ενώ τα shares έμειναν στο lab.
• LD_PRELOAD και κενά στο path. Ο loader σπάει το LD_PRELOAD στα κενά· το libnss_wrapper.so έπρεπε να αντιγραφεί σε path χωρίς κενά.
• DCERPC helpers εκτός μονοπατιού. Στο on-demand μοντέλο, ο smbd ψάχνει τον samba-dcerpcd σε compiled path (/usr/libexec/samba) που δεν υπήρχε στο «φορητό» prefix. Αποτέλεσμα: οι RPC-based έλεγχοι (χρήστες/policy μέσω SAMR/SRVSVC) ήταν περιορισμένοι. Αντ’ αυτού, η απαρίθμηση shares έγινε μέσω του SMB1/RAP path του smbclient -L (που εξυπηρετείται απευθείας από τον smbd) και η διαρροή usernames μέσω του world-readable share — μια απολύτως ρεαλιστική διαδρομή.
• ANSI χρώματα στην έξοδο. Όλα τα εργαλεία παράγουν ANSI escape codes. Για καθαρά, αναγνώσιμα screenshots, φιλτράραμε τα escape sequences και αναπαραστήσαμε την έξοδο σε ASCII, με ουδέτερη ταυτότητα χειριστή (kali@lab), χωρίς πραγματικά paths ή hostnames (το πραγματικό hostname του host αντικαταστάθηκε παντού με το εργαστηριακό MELTEMI-FS01).

Άμυνα: πώς σταματάτε κάθε βήμα

Εδώ βρίσκεται η πραγματική αξία ενός offensive άρθρου για έναν οργανισμό: κάθε βήμα της αλυσίδας έχει συγκεκριμένη, εφαρμόσιμη άμυνα. Αν σπάσετε έστω και έναν κρίκο, η αλυσίδα καταρρέει.

Ενάντια στο nmap (service discovery)

• Ελαχιστοποίηση επιφάνειας & segmentation. Το SMB δεν έχει καμία δουλειά να είναι προσβάσιμο από όπου να ‘ναι. Περιορίστε το 445 σε αυστηρά segments (VLAN/host-based firewall)· ένα workstation δεν χρειάζεται να «βλέπει» το 445 ενός άλλου workstation. Το nmap δεν βλέπει ό,τι δεν του επιτρέπει το δίκτυο.
• Απόκρυψη περιττής πληροφορίας. Ρυθμίστε το server string ώστε να μη διαφημίζει έκδοση/ρόλο. Λιγότερη πληροφορία = λιγότερο στοχευμένη επίθεση.
• Detection: μαζικά SYN/connect σε πολλές θύρες/hosts από μία πηγή είναι κλασικό μοτίβο σάρωσης· τα IDS/NDR (π.χ. Zeek, Suricata) το σηματοδοτούν.

Ενάντια στο enum4linux-ng (SMB enumeration)

• Απενεργοποιήστε το SMBv1 — παντού. Είναι ίσως το σημαντικότερο single μέτρο. Στο Samba: server min protocol = SMB2_10 (ή SMB3). Σε Windows: αφαιρέστε το χαρακτηριστικό «SMB 1.0/CIFS».
• Κλείστε τις null sessions & anonymous enumeration. Στο Samba: restrict anonymous = 2, guest ok = no όπου δεν χρειάζεται, αυστηρό map to guest. Σε Windows: οι σχετικές πολιτικές RestrictAnonymous/RestrictAnonymousSAM.
• Περιορίστε το RPC/SAMR enumeration σε authenticated, εξουσιοδοτημένους λογαριασμούς. Ένας ανώνυμος δεν πρέπει να μπορεί να απαριθμήσει χρήστες, ομάδες και policy.

Ενάντια στο smbclient (share access & data leak)

• Least privilege στα shares. Κάθε share με ρητό valid users και σωστά NTFS/POSIX ACLs. Κανένα «Everyone / guest ok» παρά μόνο όπου είναι απολύτως απαραίτητο και για μη-ευαίσθητα δεδομένα.
• Καμία ευαίσθητη πληροφορία σε readable shares. Σημειώσεις IT, credentials, λίστες χρηστών, backups, configs — ποτέ σε world-readable ή guest share. Το README.txt του lab είναι η καρικατούρα ενός πανίσχυρου, πραγματικού anti-pattern.
• Data classification & DLP. Ξέρετε πού ζουν τα ευαίσθητα δεδομένα και ελέγχετε ενεργά ποιος τα διαβάζει. Access auditing στα file shares.
• Detection: ανώνυμες συνδέσεις σε IPC$, μαζικά tree connects, ανάγνωση πολλών αρχείων από readable shares — όλα ανιχνεύσιμα μέσω SMB audit logging.

Ενάντια στο hydra (password guessing)

• Ισχυρή password policy & απαγόρευση προβλέψιμων κωδικών. «Εποχή+Έτος», «Company+Έτος», «Welcome1» — banned. Χρησιμοποιήστε έλεγχο έναντι breach/λεξικών λιστών (π.χ. τύπου HIBP με k-anonymity).
• Account lockout & throttling. Μερικές αποτυχημένες προσπάθειες -> προσωρινό lockout. Αυτό μόνο του κάνει το online brute-force πρακτικά ανέφικτο. (Στο lab το αφήσαμε ανοιχτό επίτηδες, για επίδειξη.)
• SMB signing (υποχρεωτικό) για να μπλοκάρετε relaying/tampering, και όπου γίνεται MFA/certificate-based auth για κρίσιμες υπηρεσίες.
• Detection: πολλαπλές αποτυχημένες αυθεντικοποιήσεις SMB για τον ίδιο λογαριασμό σε σύντομο χρόνο (Windows Event ID 4625, Samba auth logs) είναι ένα από τα καθαρότερα σήματα επίθεσης.

Ενάντια στα valid accounts (το τελικό βήμα)

• Least privilege & τακτικός έλεγχος «ξεχασμένων» λογαριασμών. Ένας κοινόχρηστος hr_admin με μόνιμο κωδικό είναι εφιάλτης. Ονομαστικοί λογαριασμοί, rotation, deprovisioning.
• Segmentation & monitoring της «πλευρικής» κίνησης. Ακόμη κι αν ένα credential σπάσει, η ανίχνευση ασυνήθιστης πρόσβασης σε shares περιορίζει το impact.

Οριζόντια μέτρα

Πάνω από τα επιμέρους, ένας οργανισμός χρειάζεται συνεχή ορατότητα: continuous exposure management ώστε νέα ή λανθασμένα ρυθμισμένα shares και υπηρεσίες να εντοπίζονται πριν τα βρει ο επιτιθέμενος, τακτικό adversary validation που δοκιμάζει ολόκληρες αλυσίδες (όχι μεμονωμένα ευρήματα), και ευθυγράμμιση με NIS2 & DORA, που πλέον απαιτούν αποδεδειγμένη, τεκμηριωμένη ανθεκτικότητα και όχι απλώς checkbox compliance.

Δυνατά σημεία των τεσσάρων εργαλείων

• nmap: Το θεμέλιο κάθε recon. Ώριμο, γρήγορο, με τεράστια βάση υπογραφών και το ισχυρό NSE scripting engine που κάνει πολύ περισσότερα από απλό port scan.
• enum4linux-ng: Η σύγχρονη, καθαρή εκδοχή ενός κλασικού. Συγκεντρώνει σε μία εντολή ό,τι θα χρειαζόσουν πολλές χειροκίνητες κλήσεις σε smbclient/rpcclient, με έξοδο σε JSON/YAML για αυτοματοποίηση.
• smbclient: Το «ελβετικό μαχαίρι» του SMB. Ευέλικτο, αξιόπιστο, ιδανικό τόσο για απαρίθμηση όσο και για πραγματική πρόσβαση/exfiltration αρχείων.
• hydra: Ώριμο, ταχύτατο, με τεράστια γκάμα πρωτοκόλλων. Μετατρέπει την ερώτηση «αντέχουν οι κωδικοί μας;» σε μετρήσιμη απάντηση.

Περιορισμοί και προσοχή

• Τα εργαλεία είναι θορυβώδη αν χρησιμοποιηθούν αλόγιστα· ένα ασύνετο brute-force μπορεί να κλειδώσει λογαριασμούς ή να «ανάψει» κάθε alert. Στο πραγματικό pentest, η επιθετικότητα ρυθμίζεται με βάση το scope.
• Το enum4linux-ng είναι τόσο καλό όσο και το τι επιτρέπει ο στόχος: σε σκληρά ρυθμισμένους servers (χωρίς null session, με περιορισμένο RPC) η απαρίθμηση περιορίζεται — όπως είδαμε και στο δικό μας setup.
• Το hydra δίνει αξιόπιστο αποτέλεσμα μόνο όταν το wordlist και ο στόχος είναι σωστά επιλεγμένα· τα false positives σε «περίεργες» υπηρεσίες είναι υπαρκτός κίνδυνος και γι’ αυτό επιμείναμε στο negative control.
• Ένα σωστό hardening (SMBv2+, no null session, strong creds + lockout, least privilege) μπορεί να καταστήσει ολόκληρη την αλυσίδα πρακτικά αδύνατη — γι’ αυτό η ενότητα άμυνας είναι το πραγματικά σημαντικό κομμάτι.

Πού χρησιμοποιείται επαγγελματικά

Αυτή η αλυσίδα δεν είναι «CTF παιχνίδι». Είναι το ψωμοτύρι του internal network penetration testing και του adversary validation: service discovery, SMB enumeration, εντοπισμός εκτεθειμένων δεδομένων, credential access και απόδειξη πραγματικού impact. Χρησιμοποιείται σε assessments εσωτερικού δικτύου, σε red team engagements, σε ασκήσεις purple teaming, σε ελέγχους μετά από incident (για να δει κανείς «πόσο εύκολα θα είχε εξαπλωθεί ο επιτιθέμενος»), και ως βάση για ρεαλιστικά σενάρια εκπαίδευσης προσωπικού.

Πότε δεν πρέπει να χρησιμοποιηθεί

Ποτέ εναντίον συστήματος που δεν σας ανήκει ή για το οποίο δεν έχετε ρητή γραπτή εξουσιοδότηση. Ποτέ σε παραγωγικό περιβάλλον χωρίς συμφωνημένο scope, παράθυρο συντήρησης και προσοχή στα account lockouts (ένα ανεξέλεγκτο brute-force μπορεί να κλειδώσει δεκάδες πραγματικούς λογαριασμούς και να προκαλέσει διακοπή υπηρεσίας). Και ποτέ με πραγματικά credentials/δεδομένα πελατών σε ένα lab. Η γραμμή μεταξύ νόμιμου penetration testing και ποινικού αδικήματος είναι η εξουσιοδότηση.

Τελική αξιολόγηση

Ως αλυσίδα, το τετράπτυχο nmap + enum4linux-ng + smbclient + hydra αποτελεί ίσως το πιο διδακτικό και ταυτόχρονα ρεαλιστικό μονοπάτι discovery-to-access σε δικτυακές υπηρεσίες SMB. Το κάθε εργαλείο είναι κορυφαίο στην κατηγορία του, ώριμο και ανοιχτού κώδικα, και μαζί αφηγούνται μια πλήρη ιστορία από το «τι ακούει στο δίκτυο» μέχρι το «διαβάζω τα εμπιστευτικά σας δεδομένα». Για έναν επαγγελματία, η γνώση αυτής της αλυσίδας — και κυρίως των αμυνών που τη σπάνε — είναι θεμελιώδης.

Βαθμολογία εργαστηριακής άσκησης: 9.5/10 για διδακτική αξία και ρεαλισμό. Ο μόνος αστερίσκος είναι ότι, όπως κάθε ισχυρό offensive tooling, απαιτεί ώριμη κρίση, αυστηρό πλαίσιο εξουσιοδότησης και προσοχή στα lockouts.

Συμπέρασμα

Η ασφάλεια δεν σπάει από ένα «critical» εύρημα· σπάει από αλυσίδες μέτριων ρυθμίσεων που κανείς δεν συνέδεσε. Ένα ενεργό SMBv1, μια null session, ένα «προσωρινό» share που διαρρέει usernames και ένας κωδικός τύπου «Summer2023» μοιάζουν διαχειρίσιμα μεμονωμένα — μέχρι που κάποιος τα ενώσει και διαβάσει τα αρχεία του HR σε λιγότερο από ένα λεπτό. Ο μόνος τρόπος να το ξέρετε πριν το μάθετε με τον δύσκολο τρόπο είναι να δοκιμάσετε ολόκληρη την αλυσίδα, με τη λογική του επιτιθέμενου, και μετά να θωρακίσετε κάθε κρίκο.

Από το εργαστήριο, στο δικό σας περιβάλλον

Αυτό που είδατε εδώ ήταν μια ελεγχόμενη, εργαστηριακή αναπαράσταση. Στον πραγματικό κόσμο, οι ίδιες αλυσίδες τρέχουν εναντίον της δικής σας επιφάνειας επίθεσης — συνεχώς, χωρίς προειδοποίηση.

Η Audax Cybersecurity μεταφράζει αυτή τη λογική σε υπηρεσία: δομημένο penetration testing και offensive security validation που δοκιμάζουν ολόκληρες αλυσίδες επίθεσης, όχι μεμονωμένα ευρήματα. Και με το Erevos AI, την ετήσια managed υπηρεσία Continuous Threat Exposure Management (CTEM), αυτός ο έλεγχος γίνεται συνεχής: human-led, machine-scaled, με τεκμηριωμένη απόδειξη ανθεκτικότητας για τις απαιτήσεις NIS2 & DORA.

Human-led. Machine-scaled. Technically proven.

Αν θέλετε να δείτε τι πραγματικά σας εκθέτει — και να το αποδείξετε πριν το κάνει κάποιος άλλος — επισκεφθείτε το https://www.audax.gr και μιλήστε με την ομάδα μας.