码迷,mamicode.com
首页 > 其他好文 > 详细

永恒之蓝EternalBlue复现

时间:2017-07-24 09:54:29      阅读:220      评论:0      收藏:0      [点我收藏+]

标签:ber   大量   分享   ros   als   load   价值   syn   job   

0x01 

漏洞原理:http://blogs.360.cn/blog/nsa-eternalblue-smb/

目前已知受影响的 Windows 版本包括但不限于:Windows NT,Windows 2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8,Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。

 

背景:

2016 年 8 月有一个 “Shadow Brokers” 的黑客组织号称入侵了方程式组织窃取了大量机密文件,并将部分文件公开到了互联网上,方程式(Equation Group)据称是 NSA(美国国家安全局)下属的黑客组织,有着极高的技术手段。这部分被公开的文件包括不少隐蔽的地下的黑客工具。另外 “Shadow Brokers” 还保留了部分文件,打算以公开拍卖的形式出售给出价最高的竞价者,“Shadow Brokers” 预期的价格是 100 万比特币(价值接近5亿美金)。这一切听起来难以置信,以至于当时有不少安全专家对此事件保持怀疑态度,“Shadow Brokers” 的拍卖也因此一直没有成功.

北京时间 2017 年 4 月 14 日晚,“Shadow Brokers” 终于忍不住了,在推特上放出了他们当时保留的部分文件,解压密码是 “Reeeeeeeeeeeeeee”。

 

这次的文件有三个目录,分别为“Windows”、“Swift” 和 “OddJob”,包含一堆令人震撼的黑客工具(我们挑几个重要的列举如下):

EXPLODINGCAN 是 IIS 5/6 远程漏洞利用工具

ETERNALROMANCE 是 SMB1 的重量级利用,可以攻击开放了 445 端口的 Windows XP, 2003, Vista, 7, Windows 8, 2008, 2008 R2 并提升至系统权限,漏洞编号为MS17-010,已于 2017 年 3 月修复。

ERRATICGOPHER 、ETERNALBLUE 、ETERNALSYNERGY 、ETERNALCHAMPION 、EDUCATEDSCHOLAR、 EMERALDTHREAD 等都是 SMB 漏洞利用程序,可以攻击开放了 445 端口的 Windows 机器,且基本都已修复于 2017 年 3 月。

ESTEEMAUDIT 是 RDP 服务的远程漏洞利用工具,可以攻击开放了3389 端口且开启了智能卡登陆的 Windows XP 和 Windows 2003 机器。

FUZZBUNCH 是一个类似 MetaSploit 的漏洞利用平台。

ODDJOB 是无法被杀毒软件检测的 Rootkit 利用工具。

ECLIPSEDWING 是 Windows 服务器的远程漏洞利用工具,漏洞编号为MS08-067,修复于2008年。

ESKIMOROLL 是 Kerberos 的漏洞利用攻击,可以攻击开放了 88 端口的 Windows 2000/2003/2008/2008 R2 的域控制器,漏洞编号为MS14-068,修复于2014年。

 

0x02  准备

攻击机 win7 32bit  

IP:192.168.1.100

运行环境:Python 2.6 以及对应的 pywin32 (一定要是对应的)

安装pywin32时如果遇到这个错误:

 技术分享

技术分享

就是这三个文件拷贝到System32下:

 技术分享

shadow brokers工具包:(网上有的下载)

 技术分享

 

攻击机2 Kali

IP: 192.168.1.113

用途:生成后门dll并接受反弹

 


靶机 win7 64bit

IP:192.168.1.10 

环境:445端口开放,关闭系统防火墙

 

0x03 复现

首次运行报错:fb.py发现是遍历目录的时候出错了,发现缺少listeningposts目录


技术分享

  创建一个listeningposts目录

技术分享

再次运行fb.py 可见许多工具很强大  

技术分享

技术分享

开始使用Eternable

技术分享

一顿配置:

技术分享

技术分享

技术分享

切换到kali 生成一个后门dll

技术分享

把生成的s.dll传到攻击机 Window中,可以利用WinSCP

启动msfconsole

 技术分享

开始设置

payload要和上面msfvenom的payload对应起来

 技术分享

切换到win7 

技术分享

技术分享

技术分享

技术分享

再切换回去kali:

技术分享

 

拿下!

 

 

 


 

永恒之蓝EternalBlue复现

标签:ber   大量   分享   ros   als   load   价值   syn   job   

原文地址:http://www.cnblogs.com/HsinTsao/p/7226949.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!