SMB/RPC协议分析之-命名/匿名管道pipe

2024-05-13 11:20

本文主要是介绍SMB/RPC协议分析之-命名/匿名管道pipe,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

在前面的文章中,介绍了SMB协议共享相关的内容,详见我的专栏《网络攻防协议实战分析》,连接这里。在SMB协议中往往需要连接到对应的远程管道,如果你经常接触到SMB协议,相信你对于lsass,svcctl等多种命名管道一定不陌生。那么windows的管道是什么?Windows上还存在着哪些特殊的管道?本文将梳理这些管道,希望对于你学习专栏《SMB攻击流量数据包分析》,这里以及分析SMB,RPC相关流量的时候,有所帮助。

管道定义

管道指的是主机上的一块用于进程之间通信的共享内存,一个进程的输出传输给另一个进程的输入,从而实现了进程之间的数据传输。通常来说管道服务端会创建管道,而管道客户端连接该管道。命名管道可用于主机本地进程之间的通信,也可以用于不同计算机上的不同进程之间的远程通信,关于管道的更多内容详见这里。

管道分类

常见的管道类型包括匿名管道和命名管道,如下:
匿名管道(Anonymous Pipe): 匿名管道是一种最常见的管道类型,用于本地计算机上的进程之间进行通信,不能用于网络之间的通信。它是由操作系统内核自动创建和管理的,通常用于父子进程间之间进行通信。匿名管道是单向的,只能实现一个方向的数据传输。
命名管道(Named Pipe): 命名管道是一种具有持久性的管道,允许不同计算机上的进程进行远程通信。它是通过文件系统中的特殊命名对象来实现的,允许多个进程连接到同一个命名管道并进行通信,例如常见的lsass管道。命名管道可以是单向获或者双向的,能实现双向的数据传输。

命名管道

Windows中有一些内置的命名管道,用于系统和应用程序之间的通信,如下通过dir \\.\pipe\\命令列举本机所有的命名管道:
在这里插入图片描述
一些在SMB流量中经常看到的管道解释如下:

  • \.\pipe:这是系统级管道的根目录,包含了许多系统服务和进程使用的命名管道。例如,.\pipe\lsass是Local Security Authority Subsystem Service(LSASS)使用的管道。
  • .\pipe\lsass:用于与本地安全子系统(Local Security Authority SubsystemService,LSASS)通信,LSASS负责处理登录认证、密码策略等安全相关的功能,SMB流量中会经常看见和lsass协议服务通信的流量,详见《网络攻防协议实战分析》专栏后续的分析。
  • .\pipe\winreg:用于与Windows注册表服务(Windows Registry Service)通信,允许应用程序访问和操作系统的注册表,SMB流量中会经常看见和lsass协议服务通信的流量,详见《网络攻防协议实战分析》专栏后续的分析。
  • .\pipe\svcctl:用于与服务控制管理器(Service Control Manager)通信,允许应用程序创建、修改和管理系统服务,SMB流量中会经常看见和svcctl协议服务通信的流量用来远程启动应用和服务,详见《网络攻防协议实战分析》专栏后续的分析。
  • .\pipe\browser:用于与计算机浏览器服务(Computer Browser Service)通信,负责在网络上发现和维护共享资源列,SMB流量中会经常看见和browser协议服务通信的流量,详见《网络攻防协议实战分析》专栏后续的分析。
  • .\pipe\epmapper:用于与终结点映射器(Endpoint Mapper)通信,EPMapper服务负责映射RPC终结点标识符(RPC Endpoint Identifiers,EPI)到网络地址和端口号,SMB流量中会经常看见和epmapper协议服务通信的流量

上述的命名管道提供了与Windows系统服务和组件进行通信的方式,允许应用程序访问系统资源和执行特定的系统功能。注意,这些命名管道通常对于普通用户不可见,只有系统或特权进程可以访问它们。

匿名管道

匿名管道最常见的使用方式是在命令行的使用中,如下:
在这里插入图片描述
在Windows命令行中,管道通常用于将一个命令的输出传递给另一个命令进行处理。除了命令行中的应用,由于匿名管道只能用于单向数据传输,也可以应用在单向数据传输的父子进程传输等场景中

SMB中管道举例

在前面的文章《SMB协议之-那些隐藏/非隐藏共享share》,这里,介绍的隐藏的share IPC 就是用于远程的命名管道连接的 s h a r e ,通过该接口可以执行远程管理和连接验证。如下将列举通过该 I P C 就是用于远程的命名管道连接的share,通过该接口可以执行远程管理和连接验证。如下将列举通过该IPC 就是用于远程的命名管道连接的share,通过该接口可以执行远程管理和连接验证。如下将列举通过该IPC share连接的管道示例。

命名管道

使用的数据包为dcerpc-winreg-with-rpc-sec-verification-trailer.pcap,下载链接,这里,如下:
在这里插入图片描述
上图可以看到使用RPC协议绑定了winreg命名管道。在命名管道绑定之后,就可以通过该管道发送命令以及接收命令的返回数据了。

使用的数据包为dssetup_DsRoleGetPrimaryDomainInformation_standalone_workstation.cap,下载链接,这里,如下:
在这里插入图片描述
上图可以看到使用RPC协议绑定了lsass命名管道。在命名管道绑定之后,就可以通过该管道发送命令以及接收命令的返回数据了。

以上就是SMB协议中常见share共享的介绍,希望对你日常工作有所帮助。

本文为CSDN村中少年原创文章,未经允许不得转载,博主链接这里。

这篇关于SMB/RPC协议分析之-命名/匿名管道pipe的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/985562

相关文章

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题,本文将一起从代码层去分析为什么没有建立索引? 开源ERP项目地址:https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置

变量与命名

引言         在前两个课时中,我们已经了解了 Python 程序的基本结构,学习了如何正确地使用缩进来组织代码,并且知道了注释的重要性。现在我们将进一步深入到 Python 编程的核心——变量与命名。变量是我们存储数据的主要方式,而合理的命名则有助于提高代码的可读性和可维护性。 变量的概念与使用         在 Python 中,变量是一种用来存储数据值的标识符。创建变量很简单,

SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

查看原文>>>全流程SWAP农业模型数据制备、敏感性分析及气候变化影响实践技术应用 SWAP模型是由荷兰瓦赫宁根大学开发的先进农作物模型,它综合考虑了土壤-水分-大气以及植被间的相互作用;是一种描述作物生长过程的一种机理性作物生长模型。它不但运用Richard方程,使其能够精确的模拟土壤中水分的运动,而且耦合了WOFOST作物模型使作物的生长描述更为科学。 本文让更多的科研人员和农业工作者

MOLE 2.5 分析分子通道和孔隙

软件介绍 生物大分子通道和孔隙在生物学中发挥着重要作用,例如在分子识别和酶底物特异性方面。 我们介绍了一种名为 MOLE 2.5 的高级软件工具,该工具旨在分析分子通道和孔隙。 与其他可用软件工具的基准测试表明,MOLE 2.5 相比更快、更强大、功能更丰富。作为一项新功能,MOLE 2.5 可以估算已识别通道的物理化学性质。 软件下载 https://pan.quark.cn/s/57

衡石分析平台使用手册-单机安装及启动

单机安装及启动​ 本文讲述如何在单机环境下进行 HENGSHI SENSE 安装的操作过程。 在安装前请确认网络环境,如果是隔离环境,无法连接互联网时,请先按照 离线环境安装依赖的指导进行依赖包的安装,然后按照本文的指导继续操作。如果网络环境可以连接互联网,请直接按照本文的指导进行安装。 准备工作​ 请参考安装环境文档准备安装环境。 配置用户与安装目录。 在操作前请检查您是否有 sud

【Linux】应用层http协议

一、HTTP协议 1.1 简要介绍一下HTTP        我们在网络的应用层中可以自己定义协议,但是,已经有大佬定义了一些现成的,非常好用的应用层协议,供我们直接使用,HTTP(超文本传输协议)就是其中之一。        在互联网世界中,HTTP(超文本传输协议)是一个至关重要的协议,他定义了客户端(如浏览器)与服务器之间如何进行通信,以交换或者传输超文本(比如HTML文档)。

线性因子模型 - 独立分量分析(ICA)篇

序言 线性因子模型是数据分析与机器学习中的一类重要模型,它们通过引入潜变量( latent variables \text{latent variables} latent variables)来更好地表征数据。其中,独立分量分析( ICA \text{ICA} ICA)作为线性因子模型的一种,以其独特的视角和广泛的应用领域而备受关注。 ICA \text{ICA} ICA旨在将观察到的复杂信号

【软考】希尔排序算法分析

目录 1. c代码2. 运行截图3. 运行解析 1. c代码 #include <stdio.h>#include <stdlib.h> void shellSort(int data[], int n){// 划分的数组,例如8个数则为[4, 2, 1]int *delta;int k;// i控制delta的轮次int i;// 临时变量,换值int temp;in

三相直流无刷电机(BLDC)控制算法实现:BLDC有感启动算法思路分析

一枚从事路径规划算法、运动控制算法、BLDC/FOC电机控制算法、工控、物联网工程师,爱吃土豆。如有需要技术交流或者需要方案帮助、需求:以下为联系方式—V 方案1:通过霍尔传感器IO中断触发换相 1.1 整体执行思路 霍尔传感器U、V、W三相通过IO+EXIT中断的方式进行霍尔传感器数据的读取。将IO口配置为上升沿+下降沿中断触发的方式。当霍尔传感器信号发生发生信号的变化就会触发中断在中断

kubelet组件的启动流程源码分析

概述 摘要: 本文将总结kubelet的作用以及原理,在有一定基础认识的前提下,通过阅读kubelet源码,对kubelet组件的启动流程进行分析。 正文 kubelet的作用 这里对kubelet的作用做一个简单总结。 节点管理 节点的注册 节点状态更新 容器管理(pod生命周期管理) 监听apiserver的容器事件 容器的创建、删除(CRI) 容器的网络的创建与删除