scm http اللص

SCCM HTTP النهب

كيف يعمل

نقاط توزيع SCCM (DPs) هي الخوادم التي تستخدمها Microsoft SCCM لاستضافة جميع الملفات المستخدمة في عمليات تثبيت البرامج والتصحيحات ونشر البرامج النصية وما إلى ذلك. بشكل افتراضي، تسمح هذه الخوادم بالوصول عبر SMB (TCP/445) وHTTP/S (TCP) /80 و/أو TCP/443) وتتطلب نوعًا ما من مصادقة Windows (أي NTLM).

تعتمد أدوات نهب SCCM DP الحالية على القدرة على تصفح مشاركات الشركات الصغيرة والمتوسطة لجمع الملفات.

• CMloot
• com.cmloot

ومع ذلك، ليس من غير المألوف أن تقوم إحدى المؤسسات بتقييد وصول الشركات الصغيرة والمتوسطة الواردة إلى الخوادم الموجودة على الشبكات الداخلية، والممارسات القياسية لمنع وصول الشركات الصغيرة والمتوسطة الواردة من الإنترنت. ومن ناحية أخرى، لا يكون الوصول إلى HTTP/S مقيدًا عادةً على الشبكات الداخلية، وغالبًا ما يُسمح به من الإنترنت. يمثل هذا فرصة للمهاجم إذا كانت هناك طريقة للحصول على الملفات من SCCM DP عبر HTTP/S.

لماذا لم يفعل أحد هذا من قبل؟

تعمل أدوات SMB عن طريق تعداد المجلد DataLib الخاص بمشاركة SCCMContentLib$ للعثور على ملفات .INI التي تحتوي على تجزئة الملف. يمكنهم بعد ذلك تحديد موقع الملف الفعلي في FileLib// . يعمل هذا لأنه من خلال الوصول إلى المشاركة، يمكنك تعداد كافة الملفات الموجودة في المجلد DataLib .

باستخدام HTTP/S، الأمور مختلفة. يؤدي الاستعراض إلى http:///SMS_DP_SMSPKG$/Datalib إلى إظهار قائمة دليل للملفات المرقمة وINIs.

لعدة أسباب (مثل السرعة)، يمكن تكوين نقاط التوزيع هذه للسماح بالوصول المجهول.

ومع ذلك، فإن الانتقال إلى الروابط غير INI يعرض ببساطة نفس الصفحة، مما يحد من عدد الملفات التي يمكن الوصول إليها مباشرة من قبل تلك الموجودة في الدليل "الجذر" الخاص بـ Datalib حيث لا يمكن استخدام التجزئات المستخرجة من ملفات INI للأدلة للعثور على الدلائل في FileLib لأنه يخزن الملفات الفعلية فقط.

ومع ذلك، فإن التصفح إلى اسم الدليل مباشرة من جذر http:///SMS_DP_SMSPKG$/ سيعرض الملفات الموجودة في هذا الدليل، والتي يمكن تنزيلها مباشرة.

هذه هي الطريقة التي يعمل بها sccm-http-looter بشكل طبيعي. يقوم بتحليل قائمة دليل Datalib للأدلة، ثم يطلبها ويوزع كل منها لأي ملفات، قبل تنزيل أي ملفات ذات امتدادات موجودة في قائمة السماح المحددة من قبل المستخدم.

في حالة تمكين الوصول المجهول ولكن تم تعطيل قائمة الدليل للأدلة الموجودة خارج جذر http:///SMS_DP_SMSPKG$/ ، هناك أسلوب ثانٍ لاسترداد الملفات التي يمكن استخدامها عن طريق تشغيل الأداة باستخدام -use-signature-method . في هذا الوضع تقوم الأداة بما يلي:

1. تنزيل قائمة Datalib من http:///SMS_DP_SMSPKG$/Datalib
2. يوزع Datalib لجميع الروابط
3. تنزيل أي أسماء ملفات رابط غير INI من http:///SMS_DP_SMSSIG$/.tar ، حيث هو العنصر الأخير في أي href من صفحة Datalib (على سبيل المثال 12300005.1 )
4. يستخرج اسم الملف الفعلي من ملف التوقيع .tar
5. يقوم بتنزيل ملف INI من http:///SMS_DP_SMSPKG$/Datalib//.INI
6. استخراج التجزئة من ملف INI
7. يقوم بتنزيل الملف الفعلي من http:///SMS_DP_SMSPKG$/Filelib// ويعيد تسميته إلى اسم الملف الصحيح كما هو محدد في ملف التوقيع.

ملفات التوقيع هي ملفات .tar ولكنها ليست tars فعلية. أنها تحتوي على أسماء ملفات 512 بايت قبل سلسلة البايت 0x18, 0x00, 0x00, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01 كما هو موضح أدناه.

تبحث الأداة عن سلسلة البايت هذه وتستخرج كافة أسماء الملفات من ملفات التوقيع.