Forensic: msfconsole use auxiliary/scanner/smb/smb enumshares attack

Apa itu `msfconsole use auxiliary/scanner/smb/smb_enumshares`?

Perintah ini merupakan salah satu modul dalam Metasploit Framework yang digunakan untuk melakukan *enumeration* atau pengintaian terhadap layanan Server Message Block (SMB) pada sebuah sistem. SMB adalah protokol jaringan yang umum digunakan untuk berbagi file dan printer dalam jaringan Windows. Dengan menggunakan modul ini, seorang penyerang dapat mengidentifikasi:

• Share (sumber daya) yang tersedia: Modul ini akan menampilkan daftar share yang dipublikasikan oleh target, seperti share untuk folder, printer, dan sebagainya.
• Hak akses: Terkadang, modul ini juga dapat memberikan informasi tentang hak akses (read, write, execute) terhadap share tersebut.

Informasi ini sangat berharga bagi penyerang karena dapat menjadi titik awal untuk melakukan serangan lebih lanjut, seperti:

• Menemukan file sensitif: Jika ada share yang berisi file-file penting, penyerang dapat mencoba mengaksesnya.
• Menemukan kerentanan: Informasi tentang share dan hak akses dapat digunakan untuk mencari kerentanan yang bisa dieksploitasi.

Contoh Serangan

Tujuan: Mengidentifikasi share yang ada pada sebuah server Ubuntu 24.04 yang menjalankan layanan SMB.

Langkah-langkah:

1. Membuka Metasploit:

msfconsole

2. Memilih modul:

use auxiliary/scanner/smb/smb_enumshares

3. Mengatur target:

set RHOSTS <alamat_IP_target>

Ganti `<alamat_IP_target>` dengan alamat IP server target.

4. Melakukan scan:

run

Hasil: Jika berhasil, Metasploit akan menampilkan daftar share yang ditemukan beserta informasi tambahan seperti nama share, tipe, dan komentar.

Forensik Serangan

Tujuan: Menemukan bukti serangan yang menggunakan modul `smb_enumshares`.

Langkah-langkah:

1. Analisis log:

• Log Metasploit: Periksa log Metasploit untuk melihat aktivitas yang mencurigakan, seperti penggunaan modul `smb_enumshares` dan target yang diincar.
• Log sistem target: Cari entri log yang terkait dengan layanan SMB, seperti akses yang tidak sah ke share tertentu.

2. Analisis network traffic:

• Capture lalu lintas jaringan: Gunakan alat seperti Wireshark untuk menangkap lalu lintas jaringan yang terjadi selama serangan.
• Filter lalu lintas: Filter lalu lintas berdasarkan protokol SMB dan port yang digunakan (139 dan 445).
• Cari paket SMB: Cari paket SMB yang berisi permintaan untuk enumerasi share.

3. Analisis file:

• Cari file log: Cari file log yang terkait dengan layanan SMB untuk melihat aktivitas yang mencurigakan.
• Analisis file sistem: Periksa file sistem untuk melihat apakah ada file atau direktori yang diakses secara tidak sah.

Bukti yang dapat ditemukan:

• Log Metasploit: Catatan tentang penggunaan modul `smb_enumshares`.
• Log sistem: Catatan tentang akses yang tidak sah ke share SMB.
• Capture jaringan: Paket SMB yang berisi permintaan untuk enumerasi share.
• File log: Catatan aktivitas yang mencurigakan dalam layanan SMB.

Pencegahan

• Perbarui sistem: Pastikan sistem selalu diperbarui dengan patch keamanan terbaru.
• Batasi akses: Batasi akses ke layanan SMB hanya untuk pengguna yang berwenang.
• Gunakan firewall: Konfigurasikan firewall untuk memblokir akses yang tidak sah ke port SMB.
• Monitor log: Pantau log sistem dan log aplikasi secara teratur untuk mendeteksi aktivitas yang mencurigakan.
• Implementasikan IDS/IPS: Gunakan Intrusion Detection System (IDS) atau Intrusion Prevention System (IPS) untuk mendeteksi dan mencegah serangan.

Penting untuk diingat:

• Legalitas: Penggunaan alat seperti Metasploit harus dilakukan dengan izin yang sesuai dan hanya untuk tujuan pendidikan atau pengujian keamanan.
• Etika: Jangan melakukan serangan terhadap sistem yang tidak Anda miliki izin.

Dengan memahami bagaimana serangan ini bekerja dan langkah-langkah forensik yang dapat dilakukan, Anda dapat lebih baik dalam melindungi sistem Anda dari ancaman serupa.

Pranala Menarik

• Forensic: IT