SMB与FTP扫描时如何绕过匿名认证限制？

Question

在进行SMB与FTP服务扫描时，常遇到目标服务器限制匿名认证访问，导致无法获取共享资源列表或目录信息。常见问题为：当使用工具（如Nmap、Enum4linux或ftp命令）尝试以空凭据或默认账户连接时，目标返回“Access Denied”或直接关闭会话，如何在不触发告警的前提下绕过此类限制？该问题涉及协议特性识别、漏洞利用（如SMB未打补丁的NTLM反射）、空会话权限提升、或借助弱配置（如FTP的anonymous写权限）实现信息探测，是渗透测试中横向移动的关键技术难点。

Answer 1

一、SMB与FTP服务匿名访问限制的背景与挑战

在现代渗透测试中，SMB（Server Message Block）和FTP（File Transfer Protocol）作为常见的文件共享协议，广泛存在于企业内网环境中。然而，出于安全加固目的，多数目标服务器已禁用空会话（Null Session）连接或匿名登录权限，导致传统扫描工具如Nmap、Enum4linux或ftp命令无法获取共享资源列表或目录结构。

典型表现为：当使用空凭据尝试连接时，服务端返回“Access Denied”、“Login failed”或直接中断TCP会话。此类防护机制通常由以下策略实现：

• Windows组策略关闭SMB空会话枚举（如RestrictAnonymous注册表项）
• FTP服务配置中禁止anonymous用户读写操作
• 防火墙或IDS/IPS系统对频繁失败认证行为进行阻断

面对这些限制，攻击者需结合协议特性、历史漏洞与配置弱点，在不触发告警的前提下完成信息探测。

二、从基础到进阶：SMB服务绕过技术路径

针对SMB服务的匿名访问限制，可依据目标环境补丁状态与配置情况采取多层递进策略：

阶段	技术手段	适用场景	风险等级
初级	SMB签名未强制启用	NTLMv1反射攻击前提	低
中级	利用NetBIOS名称服务查询	获取主机名与域信息	低
高级	NTLM反射（Responder + SMBRelay）	内网中间人劫持	中
专家级	EternalBlue等RCE漏洞利用	未打补丁系统	高
实战技巧	伪造可信源IP+慢速探测	规避IDS检测	中

1. 首先通过nmap -p445 --script smb-os-discovery识别操作系统与SMB版本
2. 检查是否允许空会话连接：rpcclient -U "" -N <IP>
3. 若返回拒绝，尝试使用enum4linux-ng进行更细粒度探测，其支持缓存解析与错误容忍机制
4. 启用Responder监听LLMNR/NBT-NS广播请求，诱导NTLMv2哈希泄露
5. 结合SMBRelay工具将捕获的认证转发至其他主机，实现横向移动
6. 对于启用了SMB签名的目标，考虑降级至NTLMv1并利用Kerberos预认证漏洞辅助破解

三、FTP服务中的隐蔽探测方法论

尽管FTP协议逐渐被替代，但在工业控制系统或遗留系统中仍普遍存在。其匿名访问控制往往存在配置疏漏。

# 检测FTP匿名可写权限
ftp <target_ip>
Name: anonymous
Password: anonymous@localhost
ftp> passive
ftp> put test.txt

若上传成功，则表明存在write_enable=YES且未限制anonymous用户的危险配置。此时可通过上传Web Shell或探测已有文件结构获取敏感信息。

进一步地，可采用以下策略增强探测成功率：

• 使用nc手动发送FTP命令，避免工具特征指纹
• 尝试常见默认账户（如admin:admin, ftp:ftp）进行轻量爆破
• 分析FTP Banner信息以判断软件版本，搜索对应CVE漏洞（如vsftpd 2.3.4后门）
• 结合HTTP服务，上传文件后通过Web路径访问验证结果

四、综合战术流程图：基于协议特性的非触发式探测

为系统化实施上述技术，设计如下Mermaid流程图描述完整战术链条：

graph TD A[发现开放SMB/FTP端口] --> B{是否允许空会话?} B -- 是 --> C[直接枚举共享资源] B -- 否 --> D[启动被动嗅探LLMNR/NBT-NS] D --> E[捕获NTLMv2哈希] E --> F[离线破解或中继攻击] F --> G[获取有效凭据] G --> H[使用凭据重连SMB] H --> I[枚举共享与访问数据] A --> J{FTP是否允许anonymous登录?} J -- 是 --> K[测试读写权限] J -- 否 --> L[尝试弱口令爆破(低频)] K --> M[上传探测文件并验证] L --> N[获取shell或敏感配置]

五、防御规避与低噪声操作建议

在实际渗透过程中，必须兼顾效率与隐蔽性。推荐以下最佳实践：

• 使用--reason参数控制Nmap扫描速率，模拟正常流量模式
• 在SMB探测中优先调用smbclient -L //<IP> -N而非暴力脚本
• 设置延迟爆破间隔（> 3秒/次），降低WAF/IDS触发概率
• 利用代理链或跳板机分散来源IP，防止封禁
• 记录每个阶段的响应码与行为日志，便于后期复盘与优化策略

此外，应持续关注新兴研究方向，例如基于AI模型预测SMB服务响应模式，或利用DNS隧道回传小量数据以绕过DLP系统监控。