eesshq/cve-2017-0144---etneralblue-ms17-010-remote-code-executionGuía paso a paso para explotar la vulnerabilidad MS17-010 EternalBlue en Windows Server 2008 R2, incluyendo reconocimiento, explotación, post-explotación e instrucciones de parcheo.
La máquina atacante es Kali Linux y Windows Server 2008 R2 como máquina objetivo.
Importe el servidor Windows 2008 R2 desde el enlace https://drive.google.com/drive/folders/146ViggeQl0pSpzotcAhpd3h9UP7fFOxJ?usp=sharing en su VirtualBox y configure la red en modo adaptador puente.
Siga los siguientes pasos para explotar la vulnerabilidad.
Paso 1: Comprobando la dirección IP de la máquina atacante y se ha confirmado que es 192.168.29.58.
Paso 2: Usando el Advanced IP Scanner estamos escaneando toda la red para encontrar el Windows Server 2008 R2.
Paso 3: comprobando si la máquina objetivo es accesible o no usando el comando ping y se ha confirmado que el sistema objetivo es accesible.
Paso 4: Con la ayuda de la herramienta Nmap estamos comprobando la detección de servicios y versiones usando -sC / -sV.
Paso 5: Podemos usar Nmap como alternativa al escáner de Metasploit para descubrir si un objetivo es vulnerable a EternalBlue. El Nmap Scripting Engine es una potente característica de la herramienta principal que permite ejecutar todo tipo de scripts contra un objetivo.
Aquí usaremos el script smb-vuln-ms17-010 para comprobar la vulnerabilidad. Podemos especificar un único script para ejecutar con la opción --script, junto con la dirección IP de nuestro objetivo.
Nmap comenzará a ejecutarse y no debería tardar demasiado, ya que solo estamos ejecutando un script. Al final de la salida, encontraremos los resultados.
Paso 6: Use el comando search dentro de Metasploit para localizar un módulo adecuado.
Una vez que hayamos determinado que nuestro objetivo es realmente vulnerable a EternalBlue, podemos usar el siguiente módulo de exploit de la búsqueda que acabamos de hacer.
Paso 7: Podemos ver la configuración actual con el comando show options. Luego establezca la IP de rhosts, que fija la IP objetivo a atacar. Eso debería ser todo, así que lo único que queda por hacer es lanzar el exploit. Use el comando exploit para ejecutarlo.
Paso 8: Aquí vemos que suceden algunas cosas, como el establecimiento de la conexión SMB y el envío del paquete del exploit. Por último, vemos que se abre una sesión "WIN".
Paso 9: Podemos verificar que hemos comprometido el objetivo ejecutando comandos como ipconfig para obtener la dirección IP del objetivo.
Paso 10: “Whoami” imprime el nombre de usuario efectivo del usuario actual cuando se invoca y net users le mostrará las cuentas de usuario en el equipo.
Paso 11: Creando un usuario zack y agregando el usuario al grupo local Administradores y a Usuarios de Escritorio Remoto.
Paso 12: Comprobando la información de la cuenta de usuario zack.
Paso 13: Conectando a la máquina objetivo usando el usuario y la contraseña creados a través de Conexión a Escritorio Remoto.
Paso 14: Se inició sesión correctamente en el sistema objetivo usando las cuentas de usuario creadas.
Siga los siguientes pasos para parchear la vulnerabilidad.
paso 1: descargue el archivo de parche desde https://docs.microsoft.com/en-us/security-updates/SecurityBulletins/2017/ms17-010?redirectedfrom=MSDN e instálelo en la máquina afectada
Paso 2: una vez instalado el parche, compruebe con el módulo auxiliar de Metasploit
Pasos para ejecutar el módulo auxiliar:
(i)use auxilary/scanner/smb/smb_ms17_010
(ii)set rhosts 192.168.29.162
(iii)run
