0


漏洞复现-永恒之蓝(MS17-010)

一,漏洞介绍

1,永恒之蓝是什么?

     永恒之蓝是指2017年4月14日晚,黑客团体Shadow Brokers(影子经纪人)公布一大批网络攻击工具,其中包含“永恒之蓝”工具,“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日,不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒,英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招,被勒索支付高额赎金才能解密恢复文件。

     2017年5月12日起,全球范围内爆发基于Windows网络共享协议进行攻击传播的蠕虫恶意代码,这是不法分子通过改造之前泄露的NSA黑客武器库中“永恒之蓝”攻击程序发起的网络攻击事件。五个小时内,包括英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招,被勒索支付高额赎金才能解密恢复文件,对重要数据造成严重损失。被袭击的设备被锁定,并索要300美元比特币赎金。要求尽快支付勒索赎金,否则将删除文件,甚至提出半年后如果还没支付的穷人可以参加免费解锁的活动。原来以为这只是个小范围的恶作剧式的勒索软件,没想到该勒索软件大面积爆发,许多高校学生中招,愈演愈烈。

  恶意代码会扫描开放445文件共享端口的Windows机器,无需用户任何操作,只要开机上网,不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。本次黑客使用的是Petya勒索病毒的变种Petwarp,攻击时仍然使用了永恒之蓝勒索漏洞,并会获取系统用户名与密码进行内网传播。本次爆发使用了已知OFFICE漏洞、永恒之蓝SMB漏洞、局域网感染等网络自我复制技术,使得病毒可以在短时间内呈爆发态势。同时,该病毒与普通勒索病毒不同,其不会对电脑中的每个文件都进行加密,而是通过加密硬盘驱动器主文件表(MFT),使主引导记录(MBR)不可操作,通过占用物理磁盘上的文件名,大小和位置的信息来限制对完整系统的访问,从而让电脑无法启动,相较普通勒索病毒对系统更具破坏性。

2,漏洞原理

    永恒之蓝是在Windows的SMB服务处理SMB v1请求时发生的漏洞,这个漏洞导致攻击者在目标系统上可以执行任意代码。通过永恒之蓝漏洞会扫描开放445文件共享端口的Windows机器,无需用户任何操作,只要开机上网,不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

扩展:SMB(全称是Server Message Block)是一个协议服务器信息块,它是一种客户机/服务器、请求/响应协议,通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源,电脑上的网上邻居就是靠SMB实现的;SMB协议工作在应用层和会话层,可以用在TCP/IP协议之上,SMB使用TCP139端口和TCP445端口。

3,影响版本

目前已知受影响的 Windows 版本包括但不限于:WindowsNT,Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。


二,实验环境

攻击机:192.168.1.8(kali)

靶机:192.168.1.6(win7)

目的:拿到最高权限,建立新用户进行远程登录

实验条件:两台机子可以相互ping通,并且靶机(无补丁)开启了445端口,防火墙是关闭的。


三,漏洞复现

1,打开MSF

2,搜索MS17-010模块

3,这里我们先选择4的auxiliary(辅助模块),使用show options命令查看需要设置的选项(Required为必选项)

4,使用exploit或者run命令去运行查看漏洞是否存在

有可能有安装补丁,查询方法 控制面板 -程序-卸载程序-(左面)查看已安装更新

把上面补丁都卸载重启


四,利用exploit模块进行渗透

1,使用exploit模块的0

2,设置参数

3,设置攻击载荷

上面这2个参数是渗透成功后目标机与攻击机建立的Shell链接,所以LHOST参数设置我们自己本地的IP,RHOSTS参数还是目标IP。

4,运行exploot命令进行攻击

显示meterpreter说明我们已经渗透成功了,已经拿到目标机的shell了。

5,输入shell命令进入目标机的shell命令界面

6,创建新用户,打开远程端口进行连接


本文转载自: https://blog.csdn.net/qq_60848021/article/details/126935915
版权归原作者 一条贤鱼的学习站 所有, 如有侵权,请联系我们删除。

“漏洞复现-永恒之蓝(MS17-010)”的评论:

还没有评论