NSA武器庫之Eclipsedwing復現

作者：ComSoc

預估稿費：300RMB

投稿方式：發送郵件至linwei#360.cn，或登陸網頁版在線投稿

導語

自shadow Brokers公布NSA泄露工具后，各路大神陸陸續續發表泄露工具各種exp復現過程，又WannaCry、EternalRocks勒索病毒的肆虐，無一不表現出泄露工具的威力，但泄露工具中光exploit就達15個，網路上搜索到的復現教程也就6個（Eternalblue，Eternalchampion，Eternalromance，Explodingcan，Esteemaudit，Easybee），還有一大半沒有相關資料。那剩下的一大半就不重要嗎？顯然不是，NSA工具集值得學習的地方還有好多，於是有了今天的文章，有何不妥之處請各路大神指教！

前期準備

靶機環境

Eclipsedwin漏洞復現過程

Use Eclipsedwin

設置目標IP、埠和NetBIOSName，NetBIOSName是計算機的標識名，該名字主要用於區域網中計算機之間的相互訪問，可通過在cmd下輸入hostname獲得。

然後基本默認，

Rpctouch Succeeded

Eclipsedwingtouch Succeeded

這時候在靶機上已經產生了一條連接

利用Pcdlllauncher注入dll

使用Pcdlllauncher

需要注意的是LPEntryname的路徑需要真實存在，找到自己對應的文件進行修改。

然後使用生成用於反彈shell的dll payload:

並使用python創建一個HTTP伺服器，方便攻擊機下載payload，

攻擊機創建tmp目錄，並將eclipsedwin_exe.dll下載到tmp目錄下,然後進行配置，對PCBehavior選項選0

然後執行

運行提示「FAILED TO DUPLICATE SOCKET」，但payload已經在靶機上運行了。查看metasploit,成功返回shell

Eclipsedwin支持的系統

NBT協議即net bios over TCP/IP，屬於SMB(Server Message Block) Windows協議族，用於文件和列印共享服務。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP）來實現基於TCP/IP的NETBIOS網際互聯。

防範手段

安裝MS08-067補丁，開啟防火牆過濾137-139，445埠，關閉SMB服務。