标签：ber 大量 分享 ros als load 价值 syn job
0x01
漏洞原理：http://blogs.360.cn/blog/nsa-eternalblue-smb/
目前已知受影响的 Windows 版本包括但不限于：Windows NT，Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。
背景：
2016 年 8 月有一个 “Shadow Brokers” 的黑客组织号称入侵了方程式组织窃取了大量机密文件，并将部分文件公开到了互联网上，方程式（Equation Group）据称是 NSA（美国国家安全局）下属的黑客组织，有着极高的技术手段。这部分被公开的文件包括不少隐蔽的地下的黑客工具。另外 “Shadow Brokers” 还保留了部分文件，打算以公开拍卖的形式出售给出价最高的竞价者，“Shadow Brokers” 预期的价格是 100 万比特币（价值接近5亿美金）。这一切听起来难以置信，以至于当时有不少安全专家对此事件保持怀疑态度，“Shadow Brokers” 的拍卖也因此一直没有成功.
北京时间 2017 年 4 月 14 日晚，“Shadow Brokers” 终于忍不住了，在推特上放出了他们当时保留的部分文件，解压密码是 “Reeeeeeeeeeeeeee”。
这次的文件有三个目录，分别为“Windows”、“Swift” 和 “OddJob”，包含一堆令人震撼的黑客工具（我们挑几个重要的列举如下）：
EXPLODINGCAN 是 IIS 5/6 远程漏洞利用工具
ETERNALROMANCE 是 SMB1 的重量级利用，可以攻击开放了 445 端口的 Windows XP, 2003, Vista, 7, Windows 8, 2008, 2008 R2 并提升至系统权限，漏洞编号为MS17-010，已于 2017 年 3 月修复。
ERRATICGOPHER 、ETERNALBLUE 、ETERNALSYNERGY 、ETERNALCHAMPION 、EDUCATEDSCHOLAR、 EMERALDTHREAD 等都是 SMB 漏洞利用程序，可以攻击开放了 445 端口的 Windows 机器，且基本都已修复于 2017 年 3 月。
ESTEEMAUDIT 是 RDP 服务的远程漏洞利用工具，可以攻击开放了3389 端口且开启了智能卡登陆的 Windows XP 和 Windows 2003 机器。
FUZZBUNCH 是一个类似 MetaSploit 的漏洞利用平台。
ODDJOB 是无法被杀毒软件检测的 Rootkit 利用工具。
ECLIPSEDWING 是 Windows 服务器的远程漏洞利用工具，漏洞编号为MS08-067，修复于2008年。
ESKIMOROLL 是 Kerberos 的漏洞利用攻击，可以攻击开放了 88 端口的 Windows 2000/2003/2008/2008 R2 的域控制器，漏洞编号为MS14-068，修复于2014年。
0x02 准备
攻击机 win7 32bit
IP：192.168.1.100
运行环境：Python 2.6 以及对应的 pywin32 （一定要是对应的）
安装pywin32时如果遇到这个错误：
就是这三个文件拷贝到System32下：
shadow brokers工具包：（网上有的下载）
攻击机2 Kali
IP: 192.168.1.113
用途：生成后门dll并接受反弹
靶机 win7 64bit
IP：192.168.1.10
环境：445端口开放，关闭系统防火墙
0x03 复现
首次运行报错：fb.py发现是遍历目录的时候出错了，发现缺少listeningposts目录
创建一个listeningposts目录
再次运行fb.py 可见许多工具很强大
开始使用Eternable
一顿配置：
切换到kali 生成一个后门dll
把生成的s.dll传到攻击机 Window中，可以利用WinSCP
启动msfconsole
开始设置
payload要和上面msfvenom的payload对应起来
切换到win7
再切换回去kali：
拿下！
标签：ber 大量 分享 ros als load 价值 syn job
原文地址：http://www.cnblogs.com/HsinTsao/p/7226949.html
