MS17-010

Questo repository è dedicato al mio lavoro pubblico su MS17-010. Non ho intenzione di fornire alcun supporto. Tutti i problemi di supporto non riceveranno risposta da me.

File

• BUG.txt Dettagli del bug MS17-010 e qualche analisi
• checker.py Script per trovare named pipe accessibili
• eternalblue_exploit7.py Exploit Eternalblue per Windows 7/2008
• eternalblue_exploit8.py Exploit Eternalblue per Windows 8/2012 x64
• eternalblue_poc.py PoC Eternalblue per il bug di buffer overflow
• eternalblue_kshellcode_x64.asm Shellcode kernel x64 per il mio exploit Eternalblue. Questo shellcode dovrebbe funzionare su Windows Vista e versioni successive
• eternalblue_kshellcode_x86.asm Shellcode kernel x86 per il mio exploit Eternalblue. Questo shellcode dovrebbe funzionare su Windows Vista e versioni successive
• eternalblue_sc_merge.py Script per unire lo shellcode x86 e x64 di Eternalblue. L'exploit Eternalblue, che supporta sia x86 che x64, con lo shellcode unito non ha bisogno di rilevare l'architettura del target
• eternalchampion_leak.py PoC Eternalchampion per la parte di perdita di informazioni
• eternalchampion_poc.py PoC Eternalchampion per controllare il RIP
• eternalchampion_poc2.py PoC Eternalchampion per ottenere l'esecuzione di codice
• eternalromance_leak.py PoC Eternalromance per la parte di perdita di informazioni
• eternalromance_poc.py PoC Eternalromance per la scrittura OOB
• eternalromance_poc2.py PoC Eternalromance per controllare una transazione che porta a lettura/scrittura arbitraria
• eternalsynergy_leak.py PoC Eternalsynergy per la parte di perdita di informazioni
• eternalsynergy_poc.py PoC Eternalsynergy per dimostrare l'heap spraying con il large paged pool
• infoleak_uninit.py PoC per la perdita di informazioni da un buffer di dati di transazione non inizializzato
• mysmb.py Classe SMB di Impacket estesa per sfruttare più facilmente i bug di MS17-010
• npp_control.py PoC per controllare l'allocazione del pool non paginato con il comando session setup
• zzz_exploit.py Exploit per Windows 2000 e versioni successive (richiede l'accesso alla named pipe)

Utente anonimo

L'utente anonimo (null session) ha più restrizioni nelle impostazioni predefinite delle nuove versioni di Windows. Per sfruttare SMB di Windows senza autenticazione, bisogna tenere presente il comportamento seguente.

• A partire da Windows Vista, le impostazioni predefinite non consentono all'anonimo di accedere a nessuna named pipe
• A partire da Windows 8, le impostazioni predefinite non consentono all'anonimo di accedere alla condivisione IPC$ (IPC$ potrebbe essere accessibile ma non si può fare molto)

A proposito degli exploit NSA

• Eternalblue richiede solo l'accesso a IPC$ per sfruttare un target, mentre altri exploit richiedono anche l'accesso alla named pipe. Quindi l'exploit funziona sempre contro Windows < 8 in qualsiasi configurazione (se la porta TCP 445 è accessibile). Tuttavia, Eternalblue ha una probabilità maggiore di mandare in crash un target rispetto ad altri exploit.
• Eternalchampion richiede l'accesso alla named pipe. L'exploit non ha alcuna possibilità di mandare in crash un target.
• Eternalromance richiede l'accesso alla named pipe. L'exploit può colpire Windows < 8 perché il bug per la perdita di informazioni è stato corretto in Windows 8. L'exploit dovrebbe avere una probabilità di mandare in crash un target inferiore a quella di Eternalblue. Non ho mai testato l'affidabilità dell'exploit.
• Eternalsynergy richiede l'accesso alla named pipe. Credo che questo exploit sia una modifica di Eternalromance per colpire Windows 8 e versioni successive. Eternalsynergy usa un altro bug per la perdita di informazioni e fa qualche trucco per trovare memoria eseguibile (non so come funzioni perché ho letto solo il log di output e il file pcap).