Zi 字媒體

作者：ComSoc預估稿費：300RMB投稿方式：發送郵件至linwei#360.cn，或登陸網頁版在線投稿 導語自shadow Brokers公布NSA泄露工具后，各路大神陸陸續續發表泄露工具各種exp復現過程，又WannaCry、EternalRocks勒索病毒的肆虐，無一不表現出泄露工具的威力，但泄露工具中光exploit就達15個，網路上搜索到的復現教程也就6個（Eternalblue，Eternalchampion，Eternalromance，Explodingcan，Esteemaudit，Easybee），還有一大半沒有相關資料。那剩下的一大半就不重要嗎？顯然不是，NSA工具集值得學習的地方還有好多，於是有了今天的文章，有何不妥之處請各路大神指教！前期準備靶機環境Eclipsedwin漏洞復現過程Use Eclipsedwin設置目標IP、埠和NetBIOSName，NetBIOSName是計算機的標識名，該名字主要用於區域網中計算機之間的相互訪問，可通過在cmd下輸入hostname獲得。然後基本默認，Rpctouch SucceededEclipsedwingtouch Succeeded這時候在靶機上已經產生了一條連接利用Pcdlllauncher注入dll使用Pcdlllauncher需要注意的是LPEntryname的路徑需要真實存在，找到自己對應的文件進行修改。然後使用生成用於反彈shell的dll payload:並使用python創建一個HTTP伺服器，方便攻擊機下載payload，攻擊機創建tmp目錄，並將eclipsedwin_exe.dll下載到tmp目錄下,然後進行配置，對PCBehavior選項選0然後執行運行提示「FAILED TO DUPLICATE SOCKET」，但payload已經在靶機上運行了。查看metasploit,成功返回shellEclipsedwin支持的系統NBT協議即net bios over TCP/IP，屬於SMB(Server Message Block) Windows協議族，用於文件和列印共享服務。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP）來實現基於TCP/IP的NETBIOS網際互聯。防範手段安裝MS08-067補丁，開啟防火牆過濾137-139，445埠，關閉SMB服務。