SMB枚举案例分享：一次让我彻夜难眠的渗透测试经历
说真的，干渗透测试这行这么多年，SMB枚举这事儿吧，看起来不起眼，但每次都能给我整出点"惊喜"来，今天就来跟大家唠唠我前段时间遇到的一个真实案例，顺便做个SMB枚举案例分享，希望能给刚入门的朋友们提个醒,也给老鸟们当个乐子看看哈哈。
事情是这么开始的
上个月接了个内网渗透的项目，客户是个中型企业，授权范围挺明确的，就一个C段，我拿到手之后，按照老套路，先nmap扫一波开放端口，结果一扫，好家伙，445端口开着的机器一大片！当时我心里就"咯噔"一下——这SMB服务开得跟不要钱似的,怕不是有大问题。
本来想着偷个懒，直接上MSF的smb_version模块扫一下就完事儿，但是吧……我这人有个毛病，总觉得工具跑出来的东西不够"地道"，还是喜欢手动枚举一下，看看能不能挖出点别人注意不到的东西，事实证明，这个强迫症救了我一命,也让这次SMB枚举案例分享变得特别有料。
SMB枚举过程中那些"离谱"发现
先说说最基础的，我用enum4linux先跑了一遍，你们猜怎么着？直接给我列出来十几个用户账号！我当时盯着屏幕愣了三秒，心想这管理员是不是把SMB配置当摆设了？匿名枚举都不关的嘛？
更绝的是，其中有个叫"backup_admin"的账户，描述字段里居然写着"备份服务器专用，密码见IT群公告"……我看到这行字的时候差点没把嘴里的咖啡喷出来，兄弟，你这是生怕黑客找不到入口是吧？这种社会工程学线索简直白送啊！
不过话说回来，光靠enum4linux还不够细，我又祭出了smbclient，尝试列共享目录，这一步真的是让我血压飙升——居然有个叫"财务共享"的目录，匿名可读！我试探性地点进去一看，好家伙，2024年的财务报表、员工工资表、还有合同扫描件……全在里面躺着呢。
这里插一句啊，SMB枚举这活儿真的不能图快，你得有耐心一个共享一个共享地看，一个权限一个权限地试，很多时候漏洞就藏在你觉得"应该没问题"的地方,我当时的操作就是：
- 先用
smbclient -L列出所有共享 - 再逐个用
smbclient //target/share尝试匿名连接 - 对可读目录做递归列举，看看有没有敏感文件
峰回路转：从枚举到横向
本来以为到这儿就差不多了，结果我发现那台开了"财务共享"的机器，同时还跑着旧版的SMBv1协议，哎哟喂，这不就是永恒之蓝的温床嘛！虽然我没打算真用MS17-010去打（毕竟是授权测试，稳一点好）,但这个发现直接让我在报告里多写了三页风险说明。
后来我顺着backup_admin这个账户的线索，结合之前枚举出来的用户列表做了波密码喷洒（在授权范围内哈，别乱学），你别说，还真让我蒙对了一个弱口令——"Company@2024"，登进去之后，那台备份服务器简直就是个宝库，域管凭据都存在里面……
给大家的几点掏心窝子建议
写到这儿，我得认真说几句了，通过这次SMB枚举案例分享，我最大的感触就是：SMB枚举绝对不是走过场的步骤，很多企业觉得"我们内网很安全"，结果445端口裸奔、匿名共享敞开、弱口令遍地,这不就是给攻击者铺红毯嘛！
给大家几个实操建议吧：
- 永远不要跳过SMB枚举，哪怕你觉得目标很 hardened，枚举一遍花不了几分钟
- 工具要组合用，enum4linux、smbmap、crackmapexec各有各的好，别只认一个
- 注意细节，用户描述、共享命名、文件时间戳，这些都是情报
- 别忘了SMBv1的排查，老协议就是定时炸弹
好了，这次的SMB枚举案例分享就到这儿吧，写这篇文章的时候我又回想起当时盯着屏幕的那种兴奋劲儿，哈哈，干这行就是这样，累归累，但每次挖到东西的成就感是真的上头，希望对大家有帮助，有啥问题欢迎评论区交流,咱们下篇见！