🔵 EternalBlue（CVE-2017-0144）

Microsoft SMBv1 严重远程代码执行漏洞

📌 概述

EternalBlue 是 Microsoft 服务器消息块版本 1 (SMBv1) 协议中的一个严重漏洞，允许远程攻击者在无需认证的情况下，在易受攻击的 Windows 系统上执行任意代码。

该漏洞利用工具由 NSA 开发，后于 2017 年被黑客组织 Shadow Brokers 泄露。它在被全球勒索软件活动（如 WannaCry 和 NotPetya）武器化后广为人知。

🆔 漏洞详情

⚠️ 影响

成功利用可能导致：

• 💀 以 SYSTEM 权限执行远程代码
• 🖥️ 完全接管易受攻击的机器
• 🌐 像蠕虫一样在网络中传播
• 🔐 部署勒索软件或恶意软件
• 📂 数据窃取、破坏或加密
• 🚨 大规模组织服务中断

📸 演示

🛑 WannaCry 勒索软件（2017年5月） 🛑

WannaCry 利用 EternalBlue 在网络中自动传播。

影响：

• 🌍 超过 200,000 台计算机 被感染
• 🌎 波及 150 多个国家
• 🏥 导致医院、企业、电信和政府服务瘫痪
• 💰 造成数十亿美元的损失

🛑 NotPetya 勒索软件（2017年6月） 🛑

NotPetya 结合 EternalBlue 与其他传播技术。

影响：

• 🏢 针对跨国组织
• 💾 破坏数据而非简单加密
• 💸 估计损失超过 100 亿美元
• 🌍 历史上最具破坏性的网络攻击之一

🔥 EternalBlue 为何危险

互联网
    |
    v
暴露的 SMBv1 端口 (TCP 445)
    |
    v
特制 SMB 数据包
    |
    v
内核内存破坏
    |
    v
远程代码执行
    |
    v
SYSTEM 级别访问
    |
    v
自动网络传播

🛡️ 缓解措施

立即行动

• ✅ 应用 Microsoft 安全更新 MS17-010
• ✅ 如不需要，禁用 SMBv1
• ✅ 阻止来自不可信网络的 SMB 流量（TCP 端口 445）
• ✅ 分段内部网络
• ✅ 保持 Windows 系统更新
• ✅ 使用现代端点保护
• ✅ 监控 SMB 活动以发现异常行为

🔍 检测指标

可能被利用的迹象：

• TCP/445 端口上的异常 SMB 流量
• 系统间快速横向移动
• 意外创建 cmd.exe 或 powershell.exe 等进程
• 勒索软件活动或大量文件修改

📊 CVSS 向量

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 时间线

📚 参考资料

• Microsoft 安全公告 MS17-010
• MITRE CVE-2017-0144
• CISA 已知被利用漏洞目录

⚠️ 免责声明

此仓库仅用于 教育和防御性网络安全目的。
未经明确授权，请勿使用此信息攻击系统。

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE