1075 3.669479 172.16.0.80 172.16.0.1 SMB2 234 Create Request File: Frame 1075: 234 bytes on wire (1872 bits), 234 bytes captured (1872 bits) on interface 0 Interface id: 0 (\Device\NPF_{FBD7FC3D-0E36-45B5-8709-632F431FE6C7}) Interface name: \Device\NPF_{FBD7FC3D-0E36-45B5-8709-632F431FE6C7} Encapsulation type: Ethernet (1) Arrival Time: Feb 20, 2019 13:10:12.768337000 GMT Standard Time [Time shift for this packet: 0.000000000 seconds] Epoch Time: 1550668212.768337000 seconds [Time delta from previous captured frame: 0.000806000 seconds] [Time delta from previous displayed frame: 0.000806000 seconds] [Time since reference or first frame: 3.669479000 seconds] Frame Number: 1075 Frame Length: 234 bytes (1872 bits) Capture Length: 234 bytes (1872 bits) [Frame is marked: False] [Frame is ignored: False] [Protocols in frame: eth:ethertype:ip:tcp:nbss:smb2] [Coloring Rule Name: SMB] [Coloring Rule String: smb || nbss || nbns || nbipx || ipxsap || netbios] Ethernet II, Src: Elitegro_2f:e1:7f (74:27:ea:2f:e1:7f), Dst: HewlettP_46:6f:ee (70:10:6f:46:6f:ee) Destination: HewlettP_46:6f:ee (70:10:6f:46:6f:ee) Address: HewlettP_46:6f:ee (70:10:6f:46:6f:ee) .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default) .... ...0 .... .... .... .... = IG bit: Individual address (unicast) Source: Elitegro_2f:e1:7f (74:27:ea:2f:e1:7f) Address: Elitegro_2f:e1:7f (74:27:ea:2f:e1:7f) .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default) .... ...0 .... .... .... .... = IG bit: Individual address (unicast) Type: IPv4 (0x0800) Internet Protocol Version 4, Src: 172.16.0.80, Dst: 172.16.0.1 0100 .... = Version: 4 .... 0101 = Header Length: 20 bytes (5) Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT) 0000 00.. = Differentiated Services Codepoint: Default (0) .... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0) Total Length: 220 Identification: 0x1306 (4870) Flags: 0x4000, Don't fragment 0... .... .... .... = Reserved bit: Not set .1.. .... .... .... = Don't fragment: Set ..0. .... .... .... = More fragments: Not set ...0 0000 0000 0000 = Fragment offset: 0 Time to live: 128 Protocol: TCP (6) Header checksum: 0x8ea4 [validation disabled] [Header checksum status: Unverified] Source: 172.16.0.80 Destination: 172.16.0.1 Transmission Control Protocol, Src Port: 53349, Dst Port: 445, Seq: 517, Ack: 232, Len: 180 Source Port: 53349 Destination Port: 445 [Stream index: 12] [TCP Segment Len: 180] Sequence number: 517 (relative sequence number) [Next sequence number: 697 (relative sequence number)] Acknowledgment number: 232 (relative ack number) 0101 .... = Header Length: 20 bytes (5) Flags: 0x018 (PSH, ACK) 000. .... .... = Reserved: Not set ...0 .... .... = Nonce: Not set .... 0... .... = Congestion Window Reduced (CWR): Not set .... .0.. .... = ECN-Echo: Not set .... ..0. .... = Urgent: Not set .... ...1 .... = Acknowledgment: Set .... .... 1... = Push: Set .... .... .0.. = Reset: Not set .... .... ..0. = Syn: Not set .... .... ...0 = Fin: Not set [TCP Flags: ·······AP···] Window size value: 2052 [Calculated window size: 2052] [Window size scaling factor: -1 (unknown)] Checksum: 0x7cdb [unverified] [Checksum Status: Unverified] Urgent pointer: 0 [SEQ/ACK analysis] [This is an ACK to the segment in frame: 1074] [The RTT to ACK the segment was: 0.000806000 seconds] [Bytes in flight: 180] [Bytes sent since last PSH flag: 180] [Timestamps] [Time since first frame in this TCP stream: 0.013090000 seconds] [Time since previous frame in this TCP stream: 0.000806000 seconds] TCP payload (180 bytes) NetBIOS Session Service Message Type: Session message (0x00) Length: 176 SMB2 (Server Message Block Protocol version 2) SMB2 Header Server Component: SMB2 Header Length: 64 Credit Charge: 1 Channel Sequence: 4 Reserved: 0000 Command: Create (5) Credits requested: 0 Flags: 0x00000008, Signing .... .... .... .... .... .... .... ...0 = Response: This is a REQUEST .... .... .... .... .... .... .... ..0. = Async command: This is a SYNC command .... .... .... .... .... .... .... .0.. = Chained: This pdu is NOT a chained command .... .... .... .... .... .... .... 1... = Signing: This pdu is SIGNED .... .... .... .... .... .... .000 .... = Priority: This pdu does NOT contain a PRIORITY1 ...0 .... .... .... .... .... .... .... = DFS operation: This is a normal operation ..0. .... .... .... .... .... .... .... = Replay operation: This is NOT a replay operation Chain Offset: 0x00000000 Message ID: Unknown (53738) Process Id: 0x0000feff Tree Id: 0x0000000d Session Id: 0x0001100000000005 Signature: 069396f0fb5da2c28945373530680b42 [Response in: 1076] Create Request (0x05) StructureSize: 0x0039 0000 0000 0011 100. = Fixed Part Length: 28 .... .... .... ...1 = Dynamic Part: True Oplock: No oplock (0x00) Impersonation level: Impersonation (2) Create Flags: 0x0000000000000000 Reserved: 0000000000000000 Access Mask: 0x00100080 .... .... .... .... .... .... .... ...0 = Read: NO read access .... .... .... .... .... .... .... ..0. = Write: NO write access .... .... .... .... .... .... .... .0.. = Append: NO append access .... .... .... .... .... .... .... 0... = Read EA: NO read extended attributes access .... .... .... .... .... .... ...0 .... = Write EA: NO write extended attributes access .... .... .... .... .... .... ..0. .... = Execute: NO execute access .... .... .... .... .... .... .0.. .... = Delete Child: NO delete child access .... .... .... .... .... .... 1... .... = Read Attributes: READ ATTRIBUTES access .... .... .... .... .... ...0 .... .... = Write Attributes: NO write attributes access .... .... .... ...0 .... .... .... .... = Delete: NO delete access .... .... .... ..0. .... .... .... .... = Read Control: Read access is NOT granted to owner, group and ACL of the SID .... .... .... .0.. .... .... .... .... = Write DAC: Owner may NOT write to the DAC .... .... .... 0... .... .... .... .... = Write Owner: Can NOT write owner (take ownership) .... .... ...1 .... .... .... .... .... = Synchronize: Can wait on handle to SYNCHRONIZE on completion of I/O .... ...0 .... .... .... .... .... .... = System Security: System security is NOT set .... ..0. .... .... .... .... .... .... = Maximum Allowed: Maximum allowed is NOT set ...0 .... .... .... .... .... .... .... = Generic All: Generic all is NOT set ..0. .... .... .... .... .... .... .... = Generic Execute: Generic execute is NOT set .0.. .... .... .... .... .... .... .... = Generic Write: Generic write is NOT set 0... .... .... .... .... .... .... .... = Generic Read: Generic read is NOT set File Attributes: 0x00000000 .... .... .... .... .... .... .... ...0 = Read Only: NOT read only .... .... .... .... .... .... .... ..0. = Hidden: NOT hidden .... .... .... .... .... .... .... .0.. = System: NOT a system file/dir .... .... .... .... .... .... .... 0... = Volume ID: NOT a volume ID .... .... .... .... .... .... ...0 .... = Directory: NOT a directory .... .... .... .... .... .... ..0. .... = Archive: Has NOT been modified since last archive .... .... .... .... .... .... .0.. .... = Device: NOT a device .... .... .... .... .... .... 0... .... = Normal: Has some attribute set .... .... .... .... .... ...0 .... .... = Temporary: NOT a temporary file .... .... .... .... .... ..0. .... .... = Sparse: NOT a sparse file .... .... .... .... .... .0.. .... .... = Reparse Point: Does NOT have an associated reparse point .... .... .... .... .... 0... .... .... = Compressed: Uncompressed .... .... .... .... ...0 .... .... .... = Offline: Online .... .... .... .... ..0. .... .... .... = Content Indexed: NOT content indexed .... .... .... .... .0.. .... .... .... = Encrypted: This is NOT an encrypted file Share Access: 0x00000003, Read, Write .... .... .... .... .... .... .... ...1 = Read: Object can be shared for READ .... .... .... .... .... .... .... ..1. = Write: Object can be shared for WRITE .... .... .... .... .... .... .... .0.. = Delete: Object can NOT be shared for delete Disposition: Open (if file exists open it, else fail) (1) Create Options: 0x00000060 .... .... .... .... .... .... .... ...0 = Directory: File being created/opened must not be a directory .... .... .... .... .... .... .... ..0. = Write Through: Writes need not flush buffered data before completing .... .... .... .... .... .... .... .0.. = Sequential Only: The file might not only be accessed sequentially .... .... .... .... .... .... .... 0... = Intermediate Buffering: Intermediate buffering is allowed .... .... .... .... .... .... ...0 .... = Sync I/O Alert: Operations NOT necessarily synchronous .... .... .... .... .... .... ..1. .... = Sync I/O Nonalert: All operations SYNCHRONOUS, waits not subject to alert .... .... .... .... .... .... .1.. .... = Non-Directory: File being created/opened must not be a directory .... .... .... .... .... .... 0... .... = Create Tree Connection: Create Tree Connections is NOT set .... .... .... .... .... ...0 .... .... = Complete If Oplocked: Complete if oplocked is NOT set .... .... .... .... .... ..0. .... .... = No EA Knowledge: The client understands extended attributes .... .... .... .... .... .0.. .... .... = 8.3 Only: The client understands long file names .... .... .... .... .... 0... .... .... = Random Access: The file will not be accessed randomly .... .... .... .... ...0 .... .... .... = Delete On Close: The file should not be deleted when it is closed .... .... .... .... ..0. .... .... .... = Open By FileID: OpenByFileID is NOT set .... .... .... .... .0.. .... .... .... = Backup Intent: This is a normal create .... .... .... .... 0... .... .... .... = No Compression: Compression is allowed for Open/Create .... .... ...0 .... .... .... .... .... = Reserve Opfilter: Reserve Opfilter is NOT set .... .... ..0. .... .... .... .... .... = Open Reparse Point: Normal open .... .... .0.. .... .... .... .... .... = Open No Recall: Open no recall is NOT set .... .... 0... .... .... .... .... .... = Open For Free Space query: This is NOT an open for free space query Filename: Blob Offset: 0x00000078 Blob Length: 0 Blob Offset: 0x00000080 Blob Length: 48 ExtraInfo SMB2_CREATE_QUERY_MAXIMAL_ACCESS_REQUEST SMB2_CREATE_QUERY_ON_DISK_ID Chain Element: SMB2_CREATE_QUERY_MAXIMAL_ACCESS_REQUEST "MxAc" Chain Offset: 0x00000018 Tag: MxAc Blob Offset: 0x00000010 Blob Length: 4 Blob Offset: 0x00000018 Blob Length: 0 Data: NO DATA Chain Element: SMB2_CREATE_QUERY_ON_DISK_ID "QFid" Chain Offset: 0x00000000 Tag: QFid Blob Offset: 0x00000010 Blob Length: 4 Blob Offset: 0x00000018 Blob Length: 0 Data: NO DATA