Windows 7 NTLM không xác thực đúng với Ubuntu 18.04

Tôi đã dành phần lớn thời gian trong ngày hôm nay để cố gắng tìm ra điều này ... Không chính xác những gì tôi nghĩ trong ngày hôm nay ... nhưng tôi không thể tự giúp mình ... Vì vậy, đây là vấn đề: Máy Windows 7 của tôi đã thắng 'xác thực (đối với chia sẻ Samba) với hệ thống Ubuntu 18.04 của tôi. Tôi nghĩ rằng tôi đã truy tìm chính giao thức này, nhưng tôi không chắc chính xác vấn đề thực sự là gì. Đó có thể là cài đặt tôi bị thiếu ở đâu đó trong Windows mặc dù tôi đã chơi khá nhiều với cài đặt xác thực NTLM trong Chính sách cục bộ. Kết nối chia sẻ tệp Macintosh của tôi với Ubuntu hoạt động tốt ..

Vì vậy, đây là những gì tôi đã tìm thấy:

Windows đang thiết lập lại kết nối từ máy chủ Ubuntu 18.04 và khởi động lại quá trình đàm phán với một cổng khác (trong đó máy Mac của tôi chỉ nhận thông báo STATUS_LOGIN_FAILURE và tiếp tục theo cách đó).
Windows đang gửi một người dùng khác đến Máy chủ Ubuntu (Ví dụ systemname\rootnhư trái ngược với việc gửi Mac của tôi systemname\\root) (Lưu ý 2 dấu gạch chéo ngược thay vì 1?)
Windows đang gửi "Loại tin nhắn không xác định" tới Ubuntu, vì máy Mac của tôi hoàn toàn không gửi bất cứ thứ gì như thế này.

Đây là hình ảnh so sánh giữa 2 giao thức.

Tôi đã chạy vào một vài trang web có thể giúp đỡ: https://winprotocoldoc.blob.core.windows.net/productionwindowsarchives/MS-NLMP/[MS-NLMP[-171201.pdf

https://docs.microsoft.com/en-us/windows/desktop/FileIO/microsoft-smb-protatio-and-cifs-protatio-overview

https://msdn.microsoft.com/en-us/l Library / cc246324.aspx

Tôi đã biến các gói chụp từ cả máy Mac và hệ thống Windows 7 của tôi thành các tệp .csv và đặt chúng ở đây để bạn thưởng thức.

Có, tôi đã xem xét các bản ghi (và đã 'nối đuôi chúng trong khi cố gắng kết nối thông qua trình duyệt tệp) Đây là nội dung hiển thị trong nhật ký:

Sau vài giây khi không có ai kết nối hết thời gian (tôi đoán vậy) khi chỉ nhìn vào danh sách máy tính, tôi nhận được điều này trong auth.log

Ngày 22 tháng 11 21:59:11 odroid2 smbd: pam_unix (samba: session): phiên đóng cho người dùng không ai

Tôi cũng nhận được:

Ngày 22 tháng 11 20:08:42 odroid2 smbd: pam_unix (samba: session): phiên đóng cho người dùng root

Tôi đang xác thực theo những cách khác với 'pam' bao gồm cả sshd và smbd:

Ngày 22 tháng 11 18:52:34 odroid2 smbd [9524]: pam_unix (samba: session): phiên được mở cho người dùng root bởi (uid = 0)

Các phiên này là từ Mac xác thực của tôi. Khi Windows cố gắng xác thực, không có gì hiển thị trong auth.log ngoài ai đó nếu tôi xem máy tính (sử dụng - chế độ xem mạng). Bây giờ tôi đã tắt chế độ xem mạng vì NetBIOS đang chạy trên cổng 139 và tôi muốn nó có cùng thiết lập với máy Mac của tôi (trên cổng 445). Vì vậy, tôi đã vô hiệu hóa NetBIOS trên TCP / IP.

Ngày 22 tháng 11 16:13:56 odroid2 sshd [428]: pam_unix (sshd: session): phiên mở cho người dùng root bởi (uid = 0)
22 tháng 11 16:13:56 odroid2 systemd-logind [535]: Phiên mới 733 của người dùng root.
22 tháng 11 16:13:57 odroid2 sshd [428]: Nhận ngắt kết nối từ 2600: 1700: 7c20: 1fb0: 13F: 338a: e270: 917d cảng 60.469: 11: ngắt kết nối bằng cách sử dụng
22 tháng 11 16:13:57 odroid2 sshd [428 ]: Ngắt kết nối với root người dùng 2600: 1700: 7c20: 1fb0: 13f: 338a: e270: 917d port
60469 22/11/11 16:13:57 odroid2 sshd [428]: pam_unix (sshd: session): phiên đã đóng cho root người dùng

và syslog của tôi không nói bất cứ điều gì thú vị.

Trong smb.conf của tôi, tôi có:

log level = 10
logging = 10

Tôi cho rằng 10 là mức cao nhất và 'tất cả' là mặc định nếu không có gì được chỉ định. Tôi đã nhìn thấy 10 trong một mẫu smb.conf trên internet vì vậy đó là lý do tại sao tôi nghĩ rằng đó là mức cao nhất.

tại https://www.samba.org/samba/docs/c Hiện / man-html / smb.conf.5.html

họ có:

Ví dụ: mức log = 3 passdb: 5 auth: 10 winbind: 2

Bất kỳ trợ giúp sẽ được đánh giá rất cao (đặc biệt là từ bất kỳ ai làm việc với Microsoft và biết các giao thức này và chúng sẽ trông như thế nào)

Windows Packet Capture (Chỉ SMB và các gói TCP / IP liên quan)

No.,Time,Source,Destination,Protocol,Info
13,1.627011,10.100.1.66,10.100.1.99,TCP,50128 > microsoft-ds [SYN] Seq=0 Win=8192 Len=0 MSS=1460 WS=2 SACK_PERM=1
14,1.627457,10.100.1.99,10.100.1.66,TCP,"microsoft-ds > 50128 [SYN, ACK] Seq=0 Ack=1 Win=29200 Len=0 MSS=1460 SACK_PERM=1 WS=7"
15,1.627639,10.100.1.66,10.100.1.99,TCP,50128 > microsoft-ds [ACK] Seq=1 Ack=1 Win=65700 Len=0
16,1.627723,10.100.1.66,10.100.1.99,SMB,Negotiate Protocol Request
17,1.628079,10.100.1.99,10.100.1.66,TCP,microsoft-ds > 50128 [ACK] Seq=1 Ack=160 Win=30336 Len=0
18,1.646459,10.100.1.99,10.100.1.66,SMB2,NegotiateProtocol Response
19,1.646607,10.100.1.66,10.100.1.99,SMB2,NegotiateProtocol Request
20,1.64793,10.100.1.99,10.100.1.66,SMB2,NegotiateProtocol Response
21,1.648412,10.100.1.66,10.100.1.99,SMB2,"SessionSetup Request, NTLMSSP_NEGOTIATE"
22,1.651446,10.100.1.99,10.100.1.66,SMB2,"SessionSetup Response, Error: STATUS_MORE_PROCESSING_REQUIRED, NTLMSSP_CHALLENGE"
23,1.651682,10.100.1.66,10.100.1.99,SMB2,"SessionSetup Request, NTLMSSP_AUTH, User: SMBServerSystem\root, Unknown message type"
24,1.658833,10.100.1.99,10.100.1.66,SMB2,"SessionSetup Response, Error: STATUS_LOGON_FAILURE"
25,1.658923,10.100.1.66,10.100.1.99,TCP,"50128 > microsoft-ds [RST, ACK] Seq=755 Ack=743 Win=0 Len=0"
100,6.881635,10.100.1.66,10.100.1.99,TCP,50129 > microsoft-ds [SYN] Seq=0 Win=8192 Len=0 MSS=1460 WS=2 SACK_PERM=1
101,6.88205,10.100.1.99,10.100.1.66,TCP,"microsoft-ds > 50129 [SYN, ACK] Seq=0 Ack=1 Win=29200 Len=0 MSS=1460 SACK_PERM=1 WS=7"
102,6.882208,10.100.1.66,10.100.1.99,TCP,50129 > microsoft-ds [ACK] Seq=1 Ack=1 Win=65700 Len=0
103,6.882313,10.100.1.66,10.100.1.99,SMB2,NegotiateProtocol Request
104,6.882666,10.100.1.99,10.100.1.66,TCP,microsoft-ds > 50129 [ACK] Seq=1 Ack=109 Win=29312 Len=0
105,6.900185,10.100.1.99,10.100.1.66,SMB2,NegotiateProtocol Response
106,6.900746,10.100.1.66,10.100.1.99,SMB2,"SessionSetup Request, NTLMSSP_NEGOTIATE"
107,6.90437,10.100.1.99,10.100.1.66,SMB2,"SessionSetup Response, Error: STATUS_MORE_PROCESSING_REQUIRED, NTLMSSP_CHALLENGE"
108,6.9046,10.100.1.66,10.100.1.99,SMB2,"SessionSetup Request, NTLMSSP_AUTH, User: SMBServerSystem\root, Unknown message type"
109,6.911834,10.100.1.99,10.100.1.66,SMB2,"SessionSetup Response, Error: STATUS_LOGON_FAILURE"
110,6.91193,10.100.1.66,10.100.1.99,TCP,"50129 > microsoft-ds [RST, ACK] Seq=596 Ack=537 Win=0 Len=0"

Chụp gói Mac của tôi (Gói SMB & TCP / IP)

No.,Time,Source,Destination,Protocol,Length,Info
2774,8.760436,Mac-ClientSMB.local,SMBServerHostname.local,TCP,78,"49274  >  445 [SYN, ECN, CWR] Seq=0 Win=65535 Len=0 MSS=1460 WS=64 TSval=492466315 TSecr=0 SACK_PERM=1"
2776,8.761635,SMBServerHostname.local,Mac-ClientSMB.local,TCP,74,"445  >  49274 [SYN, ACK, ECN] Seq=0 Ack=1 Win=28960 Len=0 MSS=1460 SACK_PERM=1 TSval=288262429 TSecr=492466315 WS=128"
2777,8.761677,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49274  >  445 [ACK] Seq=1 Ack=1 Win=131712 Len=0 TSval=492466316 TSecr=288262429
2778,8.761725,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,"49274  >  445 [FIN, ACK] Seq=1 Ack=1 Win=131712 Len=0 TSval=492466316 TSecr=288262429"
2781,8.761973,Mac-ClientSMB.local,SMBServerHostname.local,TCP,78,"49276  >  445 [SYN, ECN, CWR] Seq=0 Win=65535 Len=0 MSS=1460 WS=128 TSval=492466316 TSecr=0 SACK_PERM=1"
2782,8.763016,SMBServerHostname.local,Mac-ClientSMB.local,TCP,74,"445  >  49276 [SYN, ACK, ECN] Seq=0 Ack=1 Win=28960 Len=0 MSS=1460 SACK_PERM=1 TSval=288262431 TSecr=492466316 WS=128"
2783,8.763048,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=1 Ack=1 Win=7406464 Len=0 TSval=492466317 TSecr=288262431
2784,8.763082,Mac-ClientSMB.local,SMBServerHostname.local,SMB,139,Negotiate Protocol Request
2785,8.764474,SMBServerHostname.local,Mac-ClientSMB.local,TCP,66,445  >  49276 [ACK] Seq=1 Ack=74 Win=29056 Len=0 TSval=288262432 TSecr=492466317
2786,8.764477,SMBServerHostname.local,Mac-ClientSMB.local,TCP,66,445  >  49274 [ACK] Seq=1 Ack=2 Win=29056 Len=0 TSval=288262432 TSecr=492466316
2790,8.786105,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,272,Negotiate Protocol Response
2791,8.786172,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=74 Ack=207 Win=7406208 Len=0 TSval=492466339 TSecr=288262453
2792,8.786222,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,178,Negotiate Protocol Request
2793,8.788306,SMBServerHostname.local,Mac-ClientSMB.local,TCP,66,"445  >  49274 [FIN, ACK] Seq=1 Ack=2 Win=29056 Len=0 TSval=288262456 TSecr=492466316"
2794,8.788355,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49274  >  445 [ACK] Seq=2 Ack=2 Win=131712 Len=0 TSval=492466341 TSecr=288262456
2795,8.788573,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,272,Negotiate Protocol Response
2796,8.788611,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=186 Ack=413 Win=7406080 Len=0 TSval=492466341 TSecr=288262456
2800,8.881565,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,232,"Session Setup Request, NTLMSSP_NEGOTIATE"
2801,8.885411,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,319,"Session Setup Response, Error: STATUS_MORE_PROCESSING_REQUIRED, NTLMSSP_CHALLENGE"
2802,8.885488,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=352 Ack=666 Win=7405824 Len=0 TSval=492466436 TSecr=288262553
2803,8.887756,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,540,"Session Setup Request, NTLMSSP_AUTH, User: SMBServerHostname\\root"
2804,8.896983,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,143,"Session Setup Response, Error: STATUS_LOGON_FAILURE"
2805,8.897079,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=826 Ack=743 Win=7405696 Len=0 TSval=492466447 TSecr=288262565
2806,8.902278,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,232,"Session Setup Request, NTLMSSP_NEGOTIATE"
2807,8.905787,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,319,"Session Setup Response, Error: STATUS_MORE_PROCESSING_REQUIRED, NTLMSSP_CHALLENGE"
2808,8.905878,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=992 Ack=996 Win=7405440 Len=0 TSval=492466455 TSecr=288262573
2809,8.907242,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,540,"Session Setup Request, NTLMSSP_AUTH, User: SMBServerHostname\\root"
2810,8.915419,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,143,"Session Setup Response, Error: STATUS_LOGON_FAILURE"
2811,8.915507,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=1466 Ack=1073 Win=7405440 Len=0 TSval=492466464 TSecr=288262583
3769,26.062858,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,232,"Session Setup Request, NTLMSSP_NEGOTIATE"
3770,26.163475,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,319,"Session Setup Response, Error: STATUS_MORE_PROCESSING_REQUIRED, NTLMSSP_CHALLENGE"
3771,26.163543,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=1632 Ack=1326 Win=7405312 Len=0 TSval=492483488 TSecr=288279831
3772,26.165485,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,540,"Session Setup Request, NTLMSSP_AUTH, User: SMBServerHostname\\root"
3773,26.336004,SMBServerHostname.local,Mac-ClientSMB.local,TCP,66,445  >  49276 [ACK] Seq=1326 Ack=2106 Win=35456 Len=0 TSval=288279876 TSecr=492483489
3775,26.336007,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,171,Session Setup Response
3776,26.336087,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2106 Ack=1431 Win=7405440 Len=0 TSval=492483659 TSecr=288279916
3783,26.46547,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,170,Tree Connect Request Tree: \\\\SMBServerHostname\\IPC$
3784,26.466583,SMBServerHostname.local,Mac-ClientSMB.local,TCP,66,445  >  49276 [ACK] Seq=1431 Ack=2210 Win=35456 Len=0 TSval=288280134 TSecr=492483787
3785,26.46866,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,150,Tree Connect Response
3786,26.468706,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2210 Ack=1515 Win=7405440 Len=0 TSval=492483790 TSecr=288280136
3787,26.468819,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,230,Create Request File: srvsvc
3788,26.471771,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,222,Create Response File: srvsvc
3789,26.471838,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2374 Ack=1671 Win=7405312 Len=0 TSval=492483793 TSecr=288280139
3790,26.47217,Mac-ClientSMB.local,SMBServerHostname.local,DCERPC,262,"Bind: call_id: 1, Fragment: Single, 1 context items: SRVSVC V3.0 (32bit NDR)"
3791,26.474815,SMBServerHostname.local,Mac-ClientSMB.local,DCERPC,250,"Bind_ack: call_id: 1, Fragment: Single, max_xmit: 4280 max_recv: 4280, 1 results: Acceptance"
3792,26.474859,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2570 Ack=1855 Win=7405312 Len=0 TSval=492483796 TSecr=288280142
3793,26.475701,Mac-ClientSMB.local,SMBServerHostname.local,SRVSVC,278,NetShareEnumAll request
3794,26.479409,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,143,"Ioctl Response, Error: STATUS_PENDING"
3795,26.47947,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2782 Ack=1932 Win=7405440 Len=0 TSval=492483800 TSecr=288280147
3796,26.479634,SMBServerHostname.local,Mac-ClientSMB.local,SRVSVC,702,NetShareEnumAll response
3797,26.479689,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2782 Ack=2568 Win=7404928 Len=0 TSval=492483800 TSecr=288280147
3798,26.480282,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,158,Close Request File: srvsvc
3799,26.481727,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,194,Close Response
3800,26.48178,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2874 Ack=2696 Win=7405440 Len=0 TSval=492483802 TSecr=288280149
3801,26.48186,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,138,Tree Disconnect Request
3802,26.483827,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,138,Tree Disconnect Response
3803,26.483897,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=2946 Ack=2768 Win=7405440 Len=0 TSval=492483804 TSecr=288280151
3824,28.16751,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,182,Tree Connect Request Tree: \\\\SMBServerHostname\\SMBServerHostnameLOGS
3829,28.242395,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,150,Tree Connect Response
3830,28.24248,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3062 Ack=2852 Win=7405440 Len=0 TSval=492485552 TSecr=288281910
3834,28.245251,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,170,Tree Connect Request Tree: \\\\SMBServerHostname\\IPC$
3835,28.248006,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,150,Tree Connect Response
3836,28.248048,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3166 Ack=2936 Win=7405440 Len=0 TSval=492485556 TSecr=288281915
3837,28.248134,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,230,Create Request File: lsarpc
3838,28.250815,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,222,Create Response File: lsarpc
3839,28.250856,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3330 Ack=3092 Win=7405312 Len=0 TSval=492485558 TSecr=288281918
3840,28.251021,Mac-ClientSMB.local,SMBServerHostname.local,DCERPC,262,"Bind: call_id: 3, Fragment: Single, 1 context items: LSARPC V0.0 (32bit NDR)"
3841,28.253495,SMBServerHostname.local,Mac-ClientSMB.local,DCERPC,250,"Bind_ack: call_id: 3, Fragment: Single, max_xmit: 4280 max_recv: 4280, 1 results: Acceptance"
3842,28.253538,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3526 Ack=3276 Win=7405312 Len=0 TSval=492485560 TSecr=288281921
3843,28.253699,Mac-ClientSMB.local,SMBServerHostname.local,LSARPC,258,lsa_GetUserName request
3844,28.256607,SMBServerHostname.local,Mac-ClientSMB.local,LSARPC,286,lsa_GetUserName response
3845,28.256683,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3718 Ack=3496 Win=7405312 Len=0 TSval=492485563 TSecr=288281924
3846,28.256923,Mac-ClientSMB.local,SMBServerHostname.local,LSARPC,282,lsa_OpenPolicy2 request
3847,28.259367,SMBServerHostname.local,Mac-ClientSMB.local,LSARPC,230,lsa_OpenPolicy2 response
3848,28.259444,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=3934 Ack=3660 Win=7405312 Len=0 TSval=492485565 TSecr=288281926
3849,28.259879,Mac-ClientSMB.local,SMBServerHostname.local,LSARPC,302,lsa_LookupNames request
3850,28.263534,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,143,"Ioctl Response, Error: STATUS_PENDING"
3851,28.263539,SMBServerHostname.local,Mac-ClientSMB.local,LSARPC,326,lsa_LookupNames response
3852,28.263647,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=4170 Ack=3737 Win=7405440 Len=0 TSval=492485569 TSecr=288281931
3853,28.263647,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=4170 Ack=3997 Win=7405184 Len=0 TSval=492485569 TSecr=288281931
3854,28.263903,Mac-ClientSMB.local,SMBServerHostname.local,LSARPC,234,lsa_Close request
3855,28.266342,SMBServerHostname.local,Mac-ClientSMB.local,LSARPC,230,lsa_Close response
3856,28.266439,Mac-ClientSMB.local,SMBServerHostname.local,TCP,66,49276  >  445 [ACK] Seq=4338 Ack=4161 Win=7405312 Len=0 TSval=492485571 TSecr=288281933
3857,28.266709,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,158,Close Request File: lsarpc
3858,28.267637,Mac-ClientSMB.local,SMBServerHostname.local,SMB2,222,Ioctl Request FSCTL_VALIDATE_NEGOTIATE_INFO
3859,28.268592,SMBServerHostname.local,Mac-ClientSMB.local,SMB2,194,Close Response

Nếu bạn thực sự cần chúng ... đây là các tệp pcap / pcapng thực tế ... Một khi điều này được giải quyết ... Tôi sẽ gỡ chúng xuống vì có thông tin cá nhân trong đó và bất kỳ ai muốn xem câu trả lời sẽ phải làm vì vậy mà không có dữ liệu pcap thực tế.

liên kết:

https://drive.google.com/open?id=1AtPJ_t2CUt1NxQz84pu7xu7UMtnjvgc3

https://drive.google.com/open?id=1HO9UtQ8a5idvfsHdL6gmsUqvW6YCDFCP

— John Byrne
nguồn

Tôi gần như sẽ đặt cược rằng sự khác biệt của dấu gạch chéo ngược là một tạo tác của xuất CSV của công cụ chụp và không thực sự được gửi trên dây. Bạn có thể đính kèm các tập tin pcap thực tế thay thế? Và, bạn đã thử kiểm tra nhật ký Samba của máy chủ chưa? (Sử dụng [global] log level = 1 passdb:5 auth:5 auth_audit:5.)

— grawity

Tôi chỉ cần đặt các tập tin pcap thực tế (được lưu với các gói được đánh dấu SMB2). Cảm ơn đã xem xét điều này.

— John Byrne

SMBv2 / v3 luôn chạy ở chế độ 'thô' trên cổng TCP 445, không có NetBIOS trong tầm nhìn. (SMBv1 cũ hơn có thể chạy trên cả TCP / 445 hoặc TCP / 139.) Nhưng cổng thực sự không quan trọng để xác thực - nó hoàn toàn được thực hiện ở cấp SMB, không phải ở cấp NetBIOS (phiên / vận chuyển).

Bạn nên kiểm tra xem cả hai bên có đồng ý về việc nên sử dụng giao thức xác thực nào không. Đặc biệt:

liệu Samba có chấp nhận NTLMv1 hay yêu cầu NTLMv2 hay không, theo smb.conf:
```
[general]
    ;ntlm auth = ntlmv1-permitted
    ntlm auth = ntlmv2-only
```
(Các phiên bản trước được sử dụng yesđể cho phép NTLMv1, noyêu cầu NTLMv2.)

cho dù Windows gửi NTLMv1 hoặc v2, theo secpol.msc:

Security Settings
└─ Local Policies
   └─ Security Options
      └─ Network security: LAN Manager authentication level
         ( ) Send LM & NTLM
         ( ) Send NTLM response only
         (*) Send NTLMv2 response only

Bạn sẽ không thấy các thông báo "auth" PAM trong nhật ký máy chủ, vì xác thực PAM sẽ yêu cầu mật khẩu văn bản gốc mà khách hàng không tiết lộ. Thay vào đó, Samba xử lý xác thực nội bộ và chỉ khi thành công gọi PAM để thực hiện nhiều kiểm tra khác.

Thay vào đó, tìm kiếm nhật ký riêng của smbd daemon. Bạn có thể muốn bật logging = sysloghoặc logging = systemdđể chúng luôn đi đến một vị trí tiêu chuẩn; nhưng theo mặc định, chúng được giữ trong / var / log / samba thay vào đó.

— sự tham lam
nguồn

Cảm ơn bạn rất nhiều! Nó hoạt dộng bây giờ. Tôi vừa thay đổi đàm phán Windows của NTLMv2. Vì vậy, đó là một thiết lập cửa sổ sau tất cả ... Tôi đã dành 8 giờ cho việc này, tôi đã rất bối rối. Tôi đã tìm kiếm một số loại lỗi đàm phán, nhưng không có lỗi nào trong màn hình giao thức Wireshark. Trong mọi trường hợp, tôi thực sự đánh giá cao sự giúp đỡ của bạn!

— John Byrne

Thật không may, ít nhất là theo như tôi biết, hai phiên bản NTLM không được đàm phán chính xác như vậy - các gói chỉ khác nhau về cách tạo ra thách thức / phản hồi ... (Đó là một giao thức cũ và lộn xộn bắt đầu trong MS-DOS là "LM" và chỉ có một lớp sơn dày ở trên cùng.) Nếu bạn có thể, hãy đặt tất cả các máy chủ chỉ sử dụng NTLMv2 - nó có phần an toàn hơn và đó đã là mặc định trong các phiên bản HĐH mới.

— grawity