home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / smb_sid2user.nasl < prev    next >
Text File  |  2005-01-14  |  15KB  |  586 lines
  1. #
  2. # This script was written by Renaud Deraison <deraison@cvs.nessus.org>
  3. #
  4. # See the Nessus Scripts License for details
  5. #
  6.  
  7.  
  8. if(description)
  9. {
  10.  script_id(10399);
  11.  script_bugtraq_id(959);
  12. script_cve_id("CVE-2000-1200");
  13.  script_version ("$Revision: 1.46 $");
  14.  
  15.  name["english"] = "SMB use domain SID to enumerate users";
  16.  name["francais"] = "Usage du SID du domaine pour obtenir les noms d'utilisateurs";
  17.  
  18.  script_name(english:name["english"],
  19.           francais:name["francais"]);
  20.  
  21.  desc["english"] = "
  22.  
  23. This script uses the Domain SID to enumerates
  24. the users ID from 1000 to 1200 (or whatever you
  25. set this to, in the preferences)
  26.  
  27. Risk factor : Medium";
  28.  
  29.  desc["francais"] = "
  30.  
  31. Ce script utilise le SID du domaine pour Θnumerer
  32. les utilisateurs d'id 1000 α 1200 (ou quoi que vous mettiez,
  33. dans les preferences)";
  34.  
  35.  script_description(english:desc["english"],
  36.              francais:desc["francais"]);
  37.  
  38.  summary["english"] = "Enumerates users";
  39.  summary["francais"] = "Enumeration des utilisateurs";
  40.  script_summary(english:summary["english"],
  41.          francais:summary["francais"]);
  42.  
  43.  script_category(ACT_GATHER_INFO);
  44.  
  45.  script_copyright(english:"This script is Copyright (C) 2000, 2001 Renaud Deraison");
  46.  family["english"] = "Windows";
  47.  script_family(english:family["english"]);
  48.  
  49.  script_dependencies("netbios_name_get.nasl",
  50.               "smb_login.nasl",
  51.              "smb_dom2sid.nasl");
  52.  script_require_keys("SMB/transport", "SMB/name", "SMB/login", "SMB/password", "SMB/domain_sid");
  53.  script_require_ports(139, 445);
  54.  script_add_preference(name:"Start UID : ", type:"entry", value:"1000");
  55.  script_add_preference(name:"End UID : ", type:"entry", value:"1200");
  56.  
  57.  exit(0);
  58. }
  59.  
  60. include("smb_nt.inc");
  61. port = kb_smb_transport();
  62. if(!port)port = 139;
  63. if(!get_port_state(port))exit(0);
  64. __start_uid = script_get_preference("Start UID : ");
  65. __end_uid   = script_get_preference("End UID : ");
  66.  
  67. if(__end_uid < __start_uid)
  68. {
  69.  t  = __end_uid;
  70.  __end_uid = __start_uid;
  71.  __start_uid = t;
  72. }
  73.  
  74. if(!__start_uid)__start_uid = 1000;
  75. if(!__end_uid)__end_uid = __start_uid + 1000;
  76.  
  77. # 
  78. # Let's go.
  79. #
  80. # This code is long and somehow complex
  81. #
  82.  
  83.  
  84.  
  85.  
  86.  
  87.  
  88.  
  89. #==================================================================#
  90. # Section 1. Utilities                                             #
  91. #==================================================================#
  92.  
  93.  
  94.  
  95. #-------------------------------------------------------------#
  96. # return a 28 + strlen(data) + (odd(data)?0:1) long string    #
  97. #-------------------------------------------------------------#
  98. function lsa_unicode(data)
  99. {
  100.  len = strlen(data);
  101.  ret = raw_string(ord(data[0]));
  102.  
  103.  for(i=1;i<len;i=i+1)
  104.  {
  105.   ret = ret + raw_string(0, ord(data[i]));
  106.  }
  107.  
  108.  
  109.  if(!(len & 1)){even = 1;}
  110.  else even = 0;
  111.  
  112.  
  113.  if(even)
  114.   {
  115.   ret = ret + raw_string(0,0,0,0xC9, 0x11, 0x18);
  116.   }
  117.  else
  118.   ret = ret + raw_string(0,0,0,0x18);
  119.  
  120.  for(i=0;i<19;i=i+1)
  121.   ret = ret + raw_string(0);
  122.   
  123.  return(ret);
  124. }
  125.  
  126.  
  127.  
  128. #-------------------------------------------------------------#
  129. # convert a 4 bytes value to a long               #
  130. #-------------------------------------------------------------#            
  131. function long(s, index)
  132. {
  133.  num = ord(s[index+3]);
  134.  a = num*256;
  135.  num = ord(s[index+2]);
  136.  num = num + a;
  137.  a = num*256;
  138.  num = ord(s[index+1]);
  139.  num = num+a;
  140.  a = num*256;
  141.  num = ord(s[index]);
  142.  num = num+a;
  143.  return(num);
  144. }
  145.  
  146. #---------------------------------------------------------#
  147. # hexstr() to raw_string() conversion              #
  148. #---------------------------------------------------------#
  149.  
  150. function hexsid_to_rawsid(s)
  151. {
  152.  local_var i, j, ret;
  153.  
  154.  for(i=0;i<strlen(s);i+=2)
  155.  {
  156.   if(ord(s[i]) >= ord("0") && ord(s[i]) <= ord("9"))
  157.       j = int(s[i]);
  158.   else
  159.       j = int((ord(s[i]) - ord("a")) + 10);
  160.  
  161.   j *= 16;
  162.   if(ord(s[i+1]) >= ord("0") && ord(s[i+1]) <= ord("9"))
  163.       j += int(s[i+1]);
  164.   else
  165.       j += int((ord(s[i+1]) - ord("a")) + 10);
  166.   ret += raw_string(j);
  167.  }
  168.  return ret;
  169. }
  170.  
  171. #---------------------------------------------------------#
  172. # Decode the username we got                              #
  173. #---------------------------------------------------------#
  174. function decode_username(s)
  175. {
  176.  data_offset = ord(s[52]) * 256;
  177.  data_offset = data_offset + ord(s[51]);
  178.  
  179.  pad = ord(s[59]);
  180.  
  181.  
  182.  index = data_offset + 4; 
  183.  mac_len = ord(s[125]);
  184.  mac_len = mac_len * 256;
  185.  mac_len = mac_len + ord(s[124]);
  186.  
  187.  index = index + mac_len + mac_len + 2 + 130;
  188.  
  189.  odd = mac_len & 1;
  190.  
  191.  if(odd)index = index + 2;
  192.  
  193.  name_len = ord(s[index+1]);
  194.  name_len = name_len * 256;
  195.  
  196.  name_len = name_len + ord(s[index]);
  197.  
  198.  name_len = name_len * 2;
  199.  if(!name_len)return(FALSE);
  200.  name = "";
  201.  index = index+4;
  202.  for(i=0;i<name_len;i=i+2)
  203.  {
  204.   name = string(name,raw_string(ord(s[index+i])));
  205.  }
  206.  return(name);
  207. }            
  208.  
  209.  
  210. #---------------------------------------------------------#
  211. # Do something that we need for the rest                  #
  212. #---------------------------------------------------------#
  213.         
  214. function pipe_request_lsa_open_policy_setup(soc, uid, tid, pipe)
  215. {
  216.  tid_low = tid % 256;
  217.  tid_high = tid / 256;
  218.  uid_low = uid % 256;
  219.  uid_high = uid / 256;
  220.  pipe_low = pipe % 256;
  221.  pipe_high = pipe / 256;
  222.  
  223.  req = raw_string(0x00, 0x00,
  224.            0x00, 0x94, 0xFF, 0x53, 0x4D, 0x42, 0x25, 0x00,
  225.           0x00, 0x00, 0x00, 0x18, 0x03, 0x00, 0x50, 0x81,
  226.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  227.           0x00, 0x06, tid_low, tid_high, 0x00, 0x28, uid_low, uid_high,
  228.           g_mlo, g_mhi, 0x10, 0x00, 0x00, 0x48, 0x00, 0x00,
  229.           0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0x00, 0x00,
  230.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x4C,
  231.           0x00, 0x48, 0x00, 0x4C, 0x00, 0x02, 0x00, 0x26,
  232.           0x00, pipe_low, pipe_high, 0x51, 0x00, 0x5C, 0x50, 0x49,
  233.           0x50, 0x45, 0x5C, 0x00, 0x00, 0x00, 0x05, 0x00,
  234.           0x0B, 0x00, 0x10, 0x00, 0x00, 0x00, 0x48, 0x00,
  235.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x30, 0x16,
  236.           0x30, 0x16, 0x00, 0x00, 0x00, 0x00, 0x01, 0x00,
  237.           0x00, 0x00, 0x00, 0x00, 0x01, 0x00, 0x78, 0x57,
  238.           0x34, 0x12, 0x34, 0x12, 0xCD, 0xAB, 0xEF, 0x00,
  239.           0x01, 0x23, 0x45, 0x67, 0x89, 0xAB, 0x00, 0x00,
  240.           0x00, 0x00, 0x04, 0x5D, 0x88, 0x8A, 0xEB, 0x1C,
  241.           0xc9, 0x11, 0x9F, 0xE8, 0x08, 0x00, 0x2B, 0x10,
  242.           0x48, 0x60, 0x02, 0x00, 0x00, 0x00);      
  243.  send(socket:soc, data:req);
  244.  r = smb_recv(socket:soc, length:4096);
  245.  if(strlen(r) < 10 )return(FALSE);
  246.  if(ord(r[9])==0)return(r);
  247.  else return(FALSE);
  248. }
  249.  
  250.  
  251. #-----------------------------------------------------------------#
  252. # First step : we do _some_ request and we are returned a magic   #
  253. # number that we will use in step 2                               #
  254. #                                                                 #
  255. # (things are starting to get complicated)                        #
  256. #                                                                 # 
  257. #-----------------------------------------------------------------#
  258.  
  259. function pipe_request_lsa_open_policy_step1(soc, uid, tid, pipe, name)
  260. {
  261.  
  262.  
  263.  tid_low = tid % 256;
  264.  tid_high = tid / 256;
  265.  
  266.  uid_low = uid % 256;
  267.  uid_high = uid / 256;
  268.  
  269.  pipe_low = pipe % 256;
  270.  pipe_high = pipe / 256;
  271.  
  272.  
  273.  uc= lsa_unicode(data:tolower(name));
  274.  tot_len = 132 + strlen(uc);
  275.  
  276.  data_count = 60 + strlen(uc);
  277.  data_count_low  = data_count % 256;
  278.  data_count_high = data_count / 256;
  279.  
  280.  
  281.  len = strlen(name) + 1;
  282.  
  283.  len_low = len % 256;
  284.  len_high = len / 256;
  285.  
  286.  total_data_count = 56 + strlen(uc); 
  287.  total_data_count_low = total_data_count % 256;
  288.  total_data_count_high = total_data_count / 256;
  289.  tot_len_low = tot_len % 256;
  290.  tot_len_high = tot_len / 256;
  291.  bcc = 65 + strlen(uc);
  292.  bcc_low = bcc % 256;
  293.  bcc_high = bcc / 256;
  294.  
  295.  x =  32 + strlen(uc);
  296.  x_low = x % 256;
  297.  x_high = x / 256;
  298.  
  299.  y= 138 + strlen(uc);
  300.  y_low = y % 256;
  301.  y_high = y / 256;
  302.  
  303.  h = raw_string(0x00, 0x00, 
  304.            tot_len_high, tot_len_low, 0xFF, 0x53, 0x4D, 0x42, 0x25, 0x00,
  305.           0x00, 0x00, 0x00, 0x18, 0x03, 0x00, 0x26, 0x83,
  306.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  307.           0x00, 0x00, tid_low, tid_high,  0x00, 0x28, uid_low, uid_high,
  308.           g_mlo, g_mhi, 0x10, 0x00, total_data_count_high, total_data_count_low, 0x00, 0x00,
  309.           0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0x00, 0x00,
  310.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x4C,
  311.           total_data_count_high, total_data_count_low, 0x00, 0x4C, 0x00, 0x02, 0x00, 0x26,
  312.           0x00, pipe_low, pipe_high, bcc_low, bcc_high, 0x5C, 0x50, 0x49,
  313.           0x50, 0x45, 0x5C, 0x00, 0x00, 0x00, 0x05, 0x00,
  314.           0x00, 0x03, 0x10, 0x00, 0x00, total_data_count_high, total_data_count_low, 0x00, 
  315.           0x00, 0x00, 0x01, 0x00, 0x00, 0x00, x_low, x_high,
  316.           0x00, 0x00, 0x00, 0x00, 0x2C, 0x00, y_low, 0x48,
  317.           0x13, 0x00, len_low, len_high, 0x00, 0x00, 0x00, 0x00,
  318.           0x00, 0x00, len_low, len_high, 0x00, 0x00)
  319.           + uc + raw_string(
  320.           0xA4, 0xF2, 
  321.           0x12, 0x00, 0x0C, 0x00, 0x00, 0x00, 0x02, 0x00, 
  322.           0x01, 0x00, 0x00, 0x08, 0x00, 0x00);
  323.           
  324.  send(socket:soc, data:h);
  325.  r = smb_recv(socket:soc, length:4096);
  326.  if(strlen(r) < 10 )return(FALSE);
  327.  if(ord(r[9])==0)return(r);
  328.  else return(FALSE);
  329. }
  330.  
  331.  
  332.  
  333.  
  334.  
  335.  
  336. #-----------------------------------------------------------------------#
  337. # This function requests the name of the user of id <id>                #
  338. #-----------------------------------------------------------------------#
  339.  
  340.  
  341.  
  342.  
  343. function pipe_request_get_username(soc, uid, tid, pipe, name, reply,id, sid)                
  344. {
  345.  
  346.  
  347.  tid_low = tid % 256;
  348.  tid_high = tid / 256;
  349.  
  350.  uid_low = uid % 256;
  351.  uid_high = uid / 256;
  352.  
  353.  pipe_low = pipe % 256;
  354.  pipe_high = pipe / 256;
  355.  
  356.  id_low = id % 256;
  357.  id_high =  id / 256;
  358.  
  359.   
  360.   req = raw_string(0x00, 0x00,
  361.             0x00, 0xC4, 0xFF, 0x53, 0x4D, 0x42, 0x25, 0x00,
  362.           0x00, 0x00, 0x00, 0x18, 0x03, 0x80, ord(reply[16]),ord(reply[17]),
  363.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  364.           0x00, 0x00, tid_low, tid_high, 0x00, 0x00, uid_low, uid_high,
  365.           g_mlo, g_mhi, 0x10, 0x00, 0x00, 0x6C, 0x00, 0x00,
  366.           0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0x00, 0x00,
  367.           0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x54,
  368.           0x00, 0x6C, 0x00, 0x54, 0x00, 0x02, 0x00, 0x26,
  369.           0x00, pipe_low, pipe_high, 0x7D, 0x00, 0x00, 0x5C, 0x00,
  370.           0x50, 0x00, 0x49, 0x00, 0x50, 0x00, 0x45, 0x00,
  371.           0x5C, 0x00, 0x00, 0x00, 0x00, 0x00, 0x05, 0x00,
  372.           0x00, 0x03, 0x10, 0x00, 0x00, 0x00, 0x6C, 0x00,
  373.           0x00, 0x00, 0x02, 0x00, 0x00, 0x00, 0x54, 0x00,
  374.           0x00, 0x00, 0x00, 0x00, 0x0F, 0x00);
  375.     
  376.   if(strlen(reply) < 104)return(FALSE);
  377.   magic = raw_string(ord(reply[84]));          
  378.   for(i=1;i<20;i=i+1)
  379.   {
  380.    magic = magic + raw_string(ord(reply[84+i]));
  381.   }
  382.   
  383.  
  384.   
  385.   req = req + magic + raw_string(0x01, 0x00, 0x00,0x00, 0xD8, 0xF2,
  386.           0x12, 0x00, 0x01, 0x00, 0x00, 0x00, 0x10, 0x3A,
  387.         0x13, 0x00, 0x05, 0x00, 0x00, 0x00, 0x01, 0x05,
  388.         0x00, 0x00, 0x00, 0x00) + sid + raw_string( id_low, id_high,
  389.         0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
  390.         0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,
  391.         0x00, 0x00, 0x00, 0x00, 0x00, 0x00);
  392.  
  393.   send(socket:soc, data:req);
  394.   r = smb_recv(socket:soc, length:65000);
  395.   length_answer = ord(r[2]);
  396.   length_answer = length_answer * 256;
  397.   
  398.   if(strlen(r) < 3)return(FALSE);
  399.   length_answer = length_answer + ord(r[3]);
  400.   
  401.   if(strlen(r) < length_answer+3)return(FALSE);
  402.   
  403.   v = ord(r[length_answer+3]);
  404.   if(v==192){
  405.       return(FALSE);
  406.       }
  407.   return(r);  
  408. }
  409.  
  410.  
  411. #--------------------------------------------------------------#
  412. #  main function to retrieve a username                        #
  413. #--------------------------------------------------------------#
  414. function get_name(soc, uid,tid, pipe, name, id, sid, hdl)
  415. {
  416.  
  417. #
  418. # Get the SID
  419. #
  420. r = pipe_request_get_username(soc:soc, uid:uid, tid:tid,
  421.                    pipe:pipe,name:name, reply:hdl, id:id, sid:sid);
  422.  
  423.  
  424. if(r)
  425.  {
  426.   if(strlen(r) > 125)
  427.   {
  428.   r = decode_username(s:r);
  429.   return(r);
  430.   }
  431.   else return(FALSE);
  432.  }
  433.  else return(FALSE);
  434. }
  435.  
  436.  
  437.  
  438. #==============================================================#
  439. # Section 3. Entry point of the plugin                         #
  440. #==============================================================#
  441.  
  442.  
  443.  
  444. __no_enum = string(get_kb_item("SMB/Users/0"));
  445. if(__no_enum)exit(0);
  446.  
  447. __no_enum = string(get_kb_item("SMB/Users/1"));
  448. if(__no_enum)exit(0);
  449.  
  450.  
  451. # we need the  netbios name of the host
  452. name = kb_smb_name();
  453. if(!name)exit(0);
  454.  
  455.  
  456. login = kb_smb_login();
  457. pass  = kb_smb_password();
  458. if(!login)login = "";
  459. if(!pass)pass = "";
  460.  
  461. domain = kb_smb_domain(); 
  462.  
  463.  
  464. # we need the SID of the domain
  465. sidx = get_kb_item("SMB/domain_sid_hex");
  466. if(!sidx)exit(0);
  467.  
  468. sid = hexsid_to_rawsid(s:sidx);
  469. soc = open_sock_tcp(port);
  470. if(!soc)exit(0);
  471.  
  472.  
  473. #
  474. # Request a new session
  475. # 
  476. r = smb_session_request(soc:soc,  remote:name);
  477. if(!r)exit(0);
  478.  
  479. #
  480. # Negociate the protocol
  481. #
  482. prot = smb_neg_prot(soc:soc);
  483. if(!prot)exit(0);
  484.  
  485. #
  486. # Set up our null session
  487. #
  488. r = smb_session_setup(soc:soc, login:login, password:pass, domain:domain, prot:prot);
  489. if(!r)exit(0);
  490. # and extract our uid
  491. uid = session_extract_uid(reply:r);
  492.  
  493. #
  494. # Connect to the remote IPC and extract the TID
  495. # we are attributed
  496. #      
  497. r = smb_tconx(soc:soc, name:name, uid:uid, share:"IPC$");
  498. # extract our tree id
  499. tid = tconx_extract_tid(reply:r);
  500.  
  501.  
  502. #
  503. # Create a pipe to lsarpc
  504. #
  505. r = smbntcreatex(soc:soc, uid:uid, tid:tid, name:"\lsarpc");
  506. if(!r)exit(0);
  507. # and extract its ID
  508. pipe = smbntcreatex_extract_pipe(reply:r);
  509.  
  510.  
  511. #
  512. # Setup things
  513. #
  514. r = pipe_request_lsa_open_policy_setup(soc:soc, uid:uid, tid:tid, pipe:pipe);
  515.  
  516.  
  517. num_users = 0;
  518. set_kb_item(name:"SMB/Users/enumerated", value:TRUE);
  519. report = string("The domain SID could be used to enumerate the names of the users\n",
  520.         "of this domain. \n",
  521.         "(we only enumerated users name whose ID is between ",
  522.         __start_uid," and ", __end_uid, "\n",
  523.         "for performance reasons)\n",
  524.         "This gives extra knowledge to an attacker, which\n",
  525.         "is not a good thing : \n");
  526.         
  527.  
  528.  
  529. #
  530. # Get the magic number
  531. #
  532. lsa = pipe_request_lsa_open_policy_step1(soc:soc, uid:uid, tid:tid, pipe:pipe,name:name);
  533. if(!lsa)exit(0);
  534.  
  535.         
  536. n = get_name(soc:soc, uid:uid,tid:tid, pipe:pipe, name:name, hdl:lsa, id:500, sid:sid);
  537. if(n)
  538.  {
  539.  num_users = num_users + 1;
  540.  report = report + string("- Administrator account name : ", n, " (id 500)\n");
  541.  set_kb_item(name:string("SMB/Users/", num_users), value:n);
  542.  set_kb_item(name:"SMB/AdminName", value:n);
  543.  }
  544.  
  545.  
  546.  
  547. n = get_name(soc:soc, uid:uid,tid:tid, pipe:pipe, name:name, id:501, hdl:lsa);
  548. if(n)
  549.  {
  550.   report = report + string("- Guest account name : ", n, " (id 501)\n");
  551.   num_users = num_users + 1;
  552.   set_kb_item(name:string("SMB/Users/", num_users), value:n);
  553.  }
  554.  
  555. #
  556. # Retrieve the name of the users between __start_uid and __start_uid
  557. #
  558. mycounter = __start_uid;
  559. while(1)
  560. {
  561.  n = get_name(soc:soc, uid:uid,tid:tid, pipe:pipe,hdl:lsa, name:name, id:mycounter);
  562.  if(n)
  563.  {
  564.   report = report + string("- ", n, " (id ", mycounter, ")\n");
  565.   num_users = num_users + 1;
  566.   set_kb_item(name:string("SMB/Users/", num_users), value:n);
  567.  }
  568.  else if(mycounter > __end_uid)break;
  569.  
  570.  if(mycounter > (5 * __end_uid))break;
  571.  
  572.  
  573.  mycounter++;
  574. }
  575.  
  576. close(soc);
  577. report = report + string(
  578.     "\nRisk factor : Medium\n",
  579.     "Solution : filter incoming connections this port\n");
  580.  
  581.     
  582. if(num_users > 0)
  583.  {
  584.  security_warning(data:report, port:port);
  585.  }
  586.