Comme SNMP n'a aucune notion de compte ni de verrouillage et que la chaîne de communauté est l'unique identifiant, la brute forcer est simple et rapide. onesixtyone est conçu spécialement pour cela : il émet des requêtes SNMP UDP sur une liste de chaînes de communauté (et une liste d'hôtes) à haut débit et signale quelles chaînes suscitent une réponse, rendant praticable le balayage de tout un sous-réseau contre un dictionnaire de communautés en quelques secondes. Une chaîne récupérée est ensuite confirmée et utilisée avec les outils net-snmp. L'absence de verrouillage et le transport UDP sans connexion font que la seule vraie limite est la perte de paquets, les réessais importent donc.
# sweep community strings (and optionally many hosts) with onesixtyone
onesixtyone -c /usr/share/seclists/Discovery/SNMP/common-snmp-community-strings.txt <target>
onesixtyone -c comm.txt -i hosts.txt # many hosts at once
# confirm a hit and start reading
snmp-check -c <found> <target>
# hydra also brute-forces SNMP (slower, but integrates with other services)
hydra -P comm.txt -s 161 <target> snmp
Notes d'exploitation#
onesixtyoneest la voie rapide : il est piloté par le débit UDP et balaie à la fois les chaînes et les hôtes, il est donc idéal pour trouver chaque agent à chaîne faible sur un sous-réseau en une seule passe.- Tenez compte de la perte UDP : utilisez des réessais et un débit raisonnable ; une réponse manquée n'est pas une chaîne en échec, retestez donc les échecs apparents avant de conclure.
- Il n'y a pas de verrouillage à déclencher, un grand dictionnaire est donc viable, mais un équipement peut quand même limiter le débit ou abandonner sous inondation ; ajustez le débit si les réponses se tarissent.
- Une chaîne trouvée pilote l'énumération ; brute forcez séparément pour une chaîne en lecture-écriture, car elle est souvent différente et permet l'accès en écriture.