SMB 原理与报文 — SMB2 头部、三层状态与 Oplock 机制

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

【旧方式 · SMB over NetBIOS over TCP，端口 139】
┌──────────────────────────────────────────┐
│ SMB 消息 │
├──────────────────────────────────────────┤
│ NetBIOS Session Service 头（4 字节） │ Type(1) + Flags(1) + Length(2)
├──────────────────────────────────────────┤
│ TCP :139 │
└──────────────────────────────────────────┘
   还需要 UDP 137（名称解析）、UDP 138（数据报）配合

【现代方式 · Direct Hosting，端口 445】
┌──────────────────────────────────────────┐
│ SMB 消息 │
├──────────────────────────────────────────┤
│ 4 字节长度前缀（NBSS 头的简化残留） │ 0x00 + Length(3 字节)
├──────────────────────────────────────────┤
│ TCP :445 │
└──────────────────────────────────────────┘
   名称解析交给 DNS，不再需要 NetBIOS

1
2
3
4
5
6
7

TCP 连接（Connection）
  └── Session（会话） ← SESSION_SETUP 认证后获得 SessionId
        │ 一个连接上可有多个会话（多用户）
        └── Tree Connect（树连接） ← TREE_CONNECT 到 \\server\share 获得 TreeId
              │ 一个会话可连多个共享
              └── Open（文件句柄） ← CREATE 打开文件获得 FileId
                                       {Persistent, Volatile} 各 8 字节

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

 0 1 2 3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
┌───────────────────────────────────────────────────────────────┐
│ ProtocolId = 0xFE 'S' 'M' 'B' (4 字节) │
├───────────────────────────────┬───────────────────────────────┤
│ StructureSize = 64 (2B) │ CreditCharge (2B) │
├───────────────────────────────┴───────────────────────────────┤
│ Status (响应) / ChannelSequence+Reserved (请求) (4B) │
├───────────────────────────────┬───────────────────────────────┤
│ Command (2B) │ CreditRequest/Response (2B) │
├───────────────────────────────┴───────────────────────────────┤
│ Flags (4B) │
├───────────────────────────────────────────────────────────────┤
│ NextCommand (4B) 复合请求偏移 │
├───────────────────────────────────────────────────────────────┤
│ MessageId (8B) │
│ │
├───────────────────────────────────────────────────────────────┤
│ Reserved (4B) / AsyncId 前半 │
├───────────────────────────────────────────────────────────────┤
│ TreeId (4B) / AsyncId 后半 │
├───────────────────────────────────────────────────────────────┤
│ SessionId (8B) │
│ │
├───────────────────────────────────────────────────────────────┤
│ Signature (16B) │
│ │
│ │
│ │
└───────────────────────────────────────────────────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

sequenceDiagram
    autonumber
    participant C as SMB Client<br/>(Windows / smbclient)
    participant S as SMB Server<br/>(Windows / Samba)

    Note over C,S: ═══ 阶段一 · 建连与方言协商 ═══
    C->>S: TCP 三次握手 → :445
    C->>S: NEGOTIATE Request<br/>Dialects=[0x0202,0x0210,0x0300,0x0302,0x0311]<br/>SecurityMode=SIGNING_ENABLED<br/>NegotiateContext: PreauthIntegrity=SHA-512,<br/>Ciphers=[AES-128-GCM, AES-128-CCM]
    S-->>C: NEGOTIATE Response<br/>DialectRevision=0x0311 (SMB 3.1.1)<br/>SecurityMode / Capabilities<br/>SecurityBuffer = SPNEGO NegTokenInit<br/>（服务器支持的认证机制列表）
    Note over C,S: 3.1.1 起从第一个报文开始<br/>累积 SHA-512 预认证哈希，防降级

    Note over C,S: ═══ 阶段二 · 认证（SPNEGO 封装）═══
    alt Kerberos（域环境，优先）
        C->>S: SESSION_SETUP Request<br/>SPNEGO NegTokenInit + Kerberos AP_REQ（服务票据）
        S-->>C: SESSION_SETUP Response SessionId=0x1234<br/>Status=SUCCESS
    else NTLMSSP（工作组 / IP 直连回落）
        C->>S: SESSION_SETUP NTLMSSP_NEGOTIATE
        S-->>C: Status=STATUS_MORE_PROCESSING_REQUIRED (0xC0000016)<br/>NTLMSSP_CHALLENGE（含 8 字节服务器挑战值）
        C->>S: SESSION_SETUP NTLMSSP_AUTH<br/>（NTLMv2 响应 = HMAC-MD5 计算结果）
        S-->>C: SessionId=0x1234 Status=SUCCESS
        Note right of S: 挑战响应可被离线爆破<br/>也可被 NTLM Relay 中继
    end
    Note over C,S: 此后双方派生会话密钥<br/>用于签名（SigningKey）与加密（EncryptionKey）

    Note over C,S: ═══ 阶段三 · 连接共享 ═══
    C->>S: TREE_CONNECT Path="\\\\server\\share"
    S-->>C: TreeId=0x0001 ShareType=DISK<br/>ShareFlags / MaximalAccess
    Note left of C: 失败常见：<br/>0xC00000CC BAD_NETWORK_NAME 共享不存在<br/>0xC0000022 ACCESS_DENIED 无共享权限

    Note over C,S: ═══ 阶段四 · 打开并读取文件（复合请求）═══
    C->>S: 【复合请求，一个 TCP 报文】<br/>CREATE("docs\\report.docx", ShareAccess=READ,<br/> RequestedOplockLevel=LEASE)<br/>→ QUERY_INFO (FileStandardInformation)<br/>→ READ(offset=0, len=1MB)
    S-->>C: CREATE Response FileId={Persistent,Volatile}<br/>+ Lease granted (RWH)<br/>QUERY_INFO Response + READ Response(data)
    Note right of S: 复合请求把 3 次 RTT 压成 1 次<br/>这是 SMB2 相对 SMB1 的核心性能改进

    Note over C,S: ═══ 阶段五 · 租约中断（另一客户端要写）═══
    S->>C: OPLOCK_BREAK Notification<br/>（服务器主动发起：RWH → R）
    C->>S: OPLOCK_BREAK Acknowledgment<br/>（刷回脏数据后降级）
    S-->>C: OPLOCK_BREAK Response

    Note over C,S: ═══ 阶段六 · 写入与收尾 ═══
    C->>S: WRITE(FileId, offset, data)
    S-->>C: WRITE Response Count=写入字节数
    C->>S: CLOSE(FileId)
    S-->>C: CLOSE Response
    C->>S: TREE_DISCONNECT → LOGOFF → TCP FIN

1
2
3
4
5
6

从 NEGOTIATE 开始，双方各自累积计算 SHA-512 哈希链：
  H0 = SHA512(0...0 || NEGOTIATE Request)
  H1 = SHA512(H0 || NEGOTIATE Response)
  H2 = SHA512(H1 || SESSION_SETUP Request)
  ...
最终的哈希值参与派生会话密钥。

1
2
3

[SMB2 Header (NextCommand=X)] [CREATE Req]
[SMB2 Header (NextCommand=Y, Flags|=RELATED)] [QUERY_INFO Req]
[SMB2 Header (NextCommand=0, Flags|=RELATED)] [READ Req]

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95

mindmap
  root((SMB))
    承载与端口
      TCP 445 Direct Hosting
      TCP 139 NetBIOS Session
      UDP 137 名称服务
      UDP 138 数据报
      4 字节长度前缀分帧
      SMB over QUIC 443
      SMB Direct RDMA
    版本演进
      SMB1 CIFS
        0xFF SMB 魔数
        32 字节头 100 多命令
        已弃用 必须禁用
        EternalBlue MS17-010
      SMB2.0.2 Vista
        重写 19 命令 64 字节头
        Credit 流控
        复合请求
      SMB2.1 Win7
        Lease 取代 Oplock
        大 MTU
        Durable Handle
      SMB3.0 Win8
        AES-128-CCM 加密
        Multichannel 多通道
        SMB Direct RDMA
        持久句柄 透明故障转移
      SMB3.1.1 Win10
        预认证完整性 SHA-512
        AES-128-GCM
        算法协商 防降级
    状态模型
      Connection TCP
      Session SessionId 认证
      Tree Connect TreeId 共享
      Open FileId 文件句柄
        Persistent 加 Volatile
    报文结构
      ProtocolId 0xFE SMB
      StructureSize 64
      Command 19 种
      Status NTSTATUS
      MessageId 配对
      CreditCharge 信用消耗
      NextCommand 复合链
      Flags SIGNED RELATED ASYNC
      Signature 16 字节
      TRANSFORM_HEADER 0xFD SMB 加密
    核心命令
      NEGOTIATE 方言协商
      SESSION_SETUP SPNEGO 认证
      TREE_CONNECT 连共享
      CREATE 打开文件
        DesiredAccess
        ShareAccess 共享模式
        CreateDisposition
      READ WRITE
      QUERY_DIRECTORY 列目录
      IOCTL 命名管道 DFS
      OPLOCK_BREAK 租约中断
    缓存机制
      Oplock 机会锁
        Level II 共享读
        Exclusive 独占
        Batch 缓存开关
      Lease 租约 2.1
        R 读缓存
        W 写缓存
        H 句柄缓存
        LeaseKey 同客户端不互斥
      Break 服务器主动回调
    安全
      认证
        SPNEGO 协商
        Kerberos 域环境优先
        NTLMv2 挑战响应
        NTLM Relay 风险
      签名
        HMAC-SHA256 2.x
        AES-CMAC 3.x
        SYSVOL 强制签名
      加密
        AES-CCM 3.0
        AES-GCM 3.1.1
        按共享或全局开启
      IPC 命名管道
        svcctl PsExec
        samr lsarpc 枚举
        空会话风险
      加固
        禁用 SMB1
        445 不出内网
        强制签名与加密