转载自己网站:https://www.huangmj.com
ms15_034蓝屏(80)
拓扑结构: 攻击机Kali跟客户端Win2008是同一个网段的,不见得一定是直连,完全可以是在互联网中的设备
实验介绍: 在2015年4月安全补丁日,微软发布的众多安全更新中,修复了HTTP.sys中一处允许远程执行代码漏洞,编号为:CVE-2015-1635(MS15-034)。利用HTTP.sys的安全漏洞,攻击者只需要发送恶意的http请求数据包,就可能远程读取IIS服务器的内存数据,或使服务器系统蓝屏崩溃。根据公告显示,该漏洞对服务器系统造成了不小的影响,主要影响了包括Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1 和 Windows Server 2012 R2在内的主流服务器操作系统。
攻击概述: 远程执⾏代码漏洞存在于 HTTP 协议堆栈 (HTTP.sys) 中,当 HTTP.sys 未正确分析经特殊设计的 HTTP 请求时会导致此漏洞。成功利⽤此漏洞的攻击者可以在系统帐户的上下⽂中执⾏任意代码。若要利⽤此漏洞,攻击者必须将经特殊设计的 HTTP 请求发送到受影响的系统。通过修改 Windows HTTP 堆栈处理请求的⽅式,安装更新可以修复此漏洞。
漏洞复现
1、扫描靶机开放端口,发现开放80端口IIS 7.5
2、使用命令msfconsole启动metasploit渗透测试平台
3、使用命令search搜索,并调用auxiliary/scanner/http/ms15_034_http_sys_memory_dump模块验证目标靶机是否存在此漏洞
4、使用命令show options 查看模块详细参数
5、使用命令set RHOSTS设置靶机地址,然后使用exploit或者run命令运行扫描模块
6、检查发现目标靶机存在此漏洞,使用use命令调用auxiliary/dos/http/ms15_034_ulonglongadd漏洞利用模块,并对远程靶机IP地址进行设置
7、使用命令set RHOSTS设置远程靶机地址,然后使用命令run或者exploit来运行该模块
8、根据执行ms15_034模块反馈信息可知,目标靶机Win2008系统已关闭,此时进入蓝屏状态
- 仅供学习,在自己的局域网环境中复现实验,切勿用于商业用途,后果自负。