SMB登录事件排查经验分享

不念不忘少年蓝@ 2024-04-07 10:37 115阅读 0赞

### 1. 概述 ###

### 1.1 案例 ###

先来看两张图： 看到这两张图的第一印象应该是这是一个成功的登陆，其类型为3，代表网络登陆，4624表示成功登陆，可能大部分人都是如此认为。 那么实际上呢？这里面是存在一定歧义的，今天给大家同步一下这里面的详细细节。

![91e7269a1e7b8041f3b5b047415953ff.png][]

![e2cb5dd2f686cfe37382c9d40176aa9d.png][]

### 1.2 原理 ###

当用户使用SMB 协议连接时，在提示用户输入密码之前，其会使用anonymous用户(也就是匿名用户)进行 SMB 网络连接，一旦网络将被记录为成功连接。其有以下几个条件会导致产生这条日志：

### 2. 测试 ###

### 2.1 SMB连接失败情况 ###

![6fea32fdff72fc0575caeba398b76e3b.png][]

#### 2.1.1 找不到网络名/拒绝访问 ####

直接使用net use发起一个针对不存在的aaa$的连接，会报错找不到网络名，使用net use也可以看到其连接并没有成功：

**但是我们来看看日志，可以看到其产生了一条4624类型3的成功登陆的日志，这个仅仅表示使用anonymouse用户成功登录网络**![2ec9e6af5224231e44d6e2bfe3d006ae.png][]![baf33795e1af3326061191c2a6a53c56.png][]

使用正确的目录路径，但不输入用户会报错拒绝访问，该状态同样会导致一个匿名用户的登录成功 类型3

![e9309489949bb393aef5f8482af78ffa.png][]

#### 2.1.2 用户名或密码不正确 ####

使用不正确的账密登录时，会报错用户名或密码不正确。

![feb7d65955d02cd5b6d5fe8c03561ce4.png][]

这种情况在日志中就不会出现匿名登录登录成功日志，而是直接显示4625日志，当然也显示了登录的用户名。 ![1b977c95eef297fe8b565bba0d6e86de.png][]

### 2.2 SMB登录成功 ###

如果使用正确的账密进行登录的话在日志中的表现是如何呢？ 除类型3的登录成功以外，还会有4776(验证凭据)和4672(登录权限分配)的shijian

![3f95a6aef92b4bdd24e1495197ba6015.png][]![28862c0db50cd12ec148e1487583b356.png][]

### 3. 总结 ###

当攻击者使用SMB进行连接时，若访问路径不存在或账号不存在时将产生anonymous用户(匿名用户)的登录类型3的4624日志，并非代表机器失已经被登录。

4624不一定是攻击者登陆成功，要结合ip字段、targetuser字段、还有user等诸多字段并且看日志上下文，system授权有时候也会产生4624的高告警(上述字段仅表示含义，具体字段名称复杂记不清)

[91e7269a1e7b8041f3b5b047415953ff.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/68f5e784b77549e083d75e721d4c973b.png
[e2cb5dd2f686cfe37382c9d40176aa9d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/0246c070222a4774ba43e3f71522c44c.png
[6fea32fdff72fc0575caeba398b76e3b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b13ed953c80b4da0b2a83322d0b3cc5f.png
[2ec9e6af5224231e44d6e2bfe3d006ae.png]: https://img-blog.csdnimg.cn/img_convert/2ec9e6af5224231e44d6e2bfe3d006ae.png
[baf33795e1af3326061191c2a6a53c56.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/37681c5a91764b20bf5318fe5037b7b9.png
[e9309489949bb393aef5f8482af78ffa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b20cf934eef9488e864b02e2c36ace2b.png
[feb7d65955d02cd5b6d5fe8c03561ce4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a298a84c6c234648b1d79d77adb65772.png
[1b977c95eef297fe8b565bba0d6e86de.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/04041400e270453099f85c54c889ec59.png
[3f95a6aef92b4bdd24e1495197ba6015.png]: https://img-blog.csdnimg.cn/img_convert/3f95a6aef92b4bdd24e1495197ba6015.png
[28862c0db50cd12ec148e1487583b356.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b01ea41a41b94ccdb8a1b10671da815a.png