众亦信安，中意你啊！

点不了吃亏，点不了上当，设置星标，方能无恙！

一、smbclient浅析

简介

模拟SMB客户端进行SMB连接；

协议：SMB；

测试环境

win2019(DC)：192.168.1.4

win10(attack)：192.168.1.3

win2016(目标主机)：192.168.1.10

测试命令如下：

python smbclient.py domain.local/administrator:"Admin@123"@192.168.1.10

相关截图如下：

代码解读

主函数处理解析输入参数后，初始化SMBConnection()类，进行SMB协商；继续调用smbClient.login()函数进行身份认证；

接着调用MiniImpacketShell类，生成一个cmd命令行，通过输入自带命令来对目标SMB服务器进行交互，测试命令中输入shares(列出所有共享目录)；

进入do_shares()函数中，接着调用self.smb.listShares()函数，进行RPC 连接，接口为srvsvc，再调用srvs.hNetrShareEnum()查询共享文件路径；

对应流量如下：

报错解决

报错内容：module 'collections' has no attribute 'Callable'

import collectionscollections.Callable = collections.abc.Callable

总结

本次对smbclient.py脚本代码进行简单的分析，该脚本实现了简单的SMB客户端对服务器的各种操作。

二、secretsdump浅析

简介

调用各种技术来转储哈希值(离线+在线)

测试环境

win2019(DC)：192.168.1.4

win10(attack)：192.168.1.3

测试命令

python secretsdump.py domain.local/administrator:"Admin@123"@192.168.1.4

代码解读

主函数调用parse_target()函数获取输入的域名、用户名、密码、目标主机，下面的多个if判断是否符合离线破解条件，也就是输入时只有LOCAL，例子如下：

# 离线破解ntdspython secretsdump.py -system/root/vssown/SYSTEM-ntds /root/vssown/ntds.dit LOCAL

处理输入参数后，将参数带入到DumpSecrets类中，并调用类中的dump()函数；

进入self.__remoteOps.saveSAM()函数中，接着调用self.__retrieveHive('SAM')函数，步骤如下：

rrp.hOpenLocalMachine -- 打开目标注册表，获取句柄；

rrp.hBaseRegCreateKey -- 打开储存hivename键的句柄；

rrp.hBaseRegSaveKey -- 获取hivename的值并保存到8位随机值的tmp文件中；

rrp.hBaseRegCloseKey -- 关闭存储hivename 键的句柄；

rrp.hBaseRegCloseKey -- 关闭注册表句柄；

再初始化RemoteFilel类将获取的

因为我们没有设置获取特定域用户hash或者ldapFilter，所以进入else条件中，while循环status不变就一直循环，进入循环先调用`self.__remoteOps.getDomainUsers()`函数获取目标域内所有用户；

对应流量如下：

接着调用self.__decryptSupplementalInfo()函数，该函数是解密用户账户的 Supplemental Credentials 信息，特别是 Kerberos Keys，并将解密后的信息存储在字典中；

继续NTDSHashes类的dump()函数中，如果获取到了kerberosKey则调用self.__perSecretCallback()函数将kerberosKey处理并输出到控制台上，如果没有报错将执行finally条件中的代码关闭相关文件流；

总结

本次对secretsdump.py脚本代码进行简单分析，只是将平时内网常用的参数功能进行分析，该脚本代码量较大，相对来讲比较复杂，而且里面涉及到一些解密相关的操作，没有详细解读，本文仅针对了流量层进行了解读。

原文始发于微信公众号（众亦信安）：impacket解读（三. smbclient、secretsdump）