[port139ml:01695] Re: NBTdeputy

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 伊原です。

On Tue, 24 Dec 2002 23:51:08 +0900
Hideaki Ihara <hideaki@xxxxxxxxxxxxx> wrote:

>NBTdeputy
>http://www.securityfriday.com/ToolDownload/NBTdeputy/nbtdeputy_doc.html

過去に Security Friday さんが指摘されている Windows XP, .NET
Server もかな？では"My Network Places"をクリックすると自動的
リソースへ認証を行ってしまうという仕様と、今回の NBTdeputy
を利用して NetBIOS 名をネットワークへ登録することで SMBrealy
をより手軽に使ってしまおう！ということでいいんですかね。

＃SMBrelay の詳細は「クラッキング防衛大全 Windows 2000編」と
＃いう記述がナイス（死語）ですね...

使い方としては

 1. SMBrelay を実行するホストを用意し NetBIOS over TCP/IP
    (137,138/udp, 139/tcp)とDirect SMB(445/tcp,udp)を無効化
 2. SMBrelay を実行 /S オプションでコンピュータ名を指定
 3. NBTdeputy で 2 のコンピュータ名と IP アドレスをネット
    ワークへ登録
 4. ターゲットが“マイ ネットワーク”を開くのを待つ

という感じでしょうか？

あと、SMBDeviceEnabled のレジストリキーは以下ですね。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
"SMBDeviceEnabled"=dword:00000000
参照： http://www.jsifaq.com/SUBK/tip5100/rh5161.htm

とすれば、DirectSMB(445/tcp,445/udp)が閉じます。

そういえば、.NET RC2 では NoLMHash が1にセットされている場合に
"My Network Places"をクリックした時の挙動はどうなっているのだ
ろうか...

-- 
セミナー受講者募集中！< http://www.port139.co.jp/seminar/seminar_030122.htm >
Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/