SMB (puertos 139 y 445)

Qué es

Server Message Block: el protocolo de Windows para compartir archivos, impresoras y comunicarse entre equipos. En Linux lo ofrece Samba. Es uno de los servicios más atacados en redes de empresa.

Enumeración

nmap -sCV -p139,445 <IP>
smbclient -L //<IP> -N                 # listar recursos sin contraseña
smbmap -H <IP>                         # permisos de cada recurso
nxc smb <IP> -u '' -p '' --shares      # con NetExec

Ataques

• Sesión nula / invitado: entrar sin credenciales y descargar lo que haya en los recursos compartidos.
• Credenciales en archivos: scripts, copias de seguridad o configuraciones dentro de un recurso.
• Password spraying: una contraseña probable contra muchos usuarios.
• Pass-the-Hash: con un hash NTLM se autentica sin conocer la contraseña: nxc smb <IP> -u admin -H <hash>.
• Responder / NTLM relay: capturar o reenviar autenticaciones NTLM (relacionado con Responder).

Defensa

• Desactivar SMBv1 y exigir SMB signing.
• Bloquear sesiones nulas y limitar los recursos compartidos al mínimo.
• No exponer el 445 a internet; segmentar la red.
• Contraseñas fuertes y bloqueo de cuentas ante fuerza bruta.