exploiting-ms17-010-eternalblue-vulnerability

name	exploiting-ms17-010-eternalblue-vulnerability
description	MS17-010（EternalBlue）是微软 SMBv1 实现中的一个严重漏洞，允许远程代码执行。最初由 NSA 发现，2017 年被 Shadow Brokers 泄露，曾被用于 WannaCry 和 NotPetya 勒索软件攻击活动。
domain	cybersecurity
subdomain	red-teaming
tags	["red-team","adversary-simulation","mitre-attack","exploitation","post-exploitation","eternalblue","smb","remote-code-execution"]
version	1.0
author	mahipal
license	Apache-2.0

利用 MS17-010 EternalBlue 漏洞

概述

MS17-010（EternalBlue）是微软 SMBv1 实现中的一个严重漏洞，允许远程代码执行（RCE）。最初由 NSA 发现，2017 年被 Shadow Brokers 泄露，被用于 WannaCry 和 NotPetya 勒索软件攻击活动。尽管自 2017 年 3 月起已有补丁，但许多组织仍有未打补丁的系统，使其成为特别在传统环境中可行的红队利用向量。

MITRE ATT&CK 映射

• T1210 - 远程服务利用
• T1190 - 利用面向公众的应用
• T1569.002 - 系统服务：服务执行

实施步骤

阶段一：漏洞扫描

1. 扫描目标网络的 SMB 端口 445
2. 检查 SMBv1 协议支持
3. 运行 MS17-010 漏洞检查（Nmap NSE 脚本或 Metasploit 辅助模块）
4. 记录具有操作系统版本和补丁级别的易受攻击系统

阶段二：利用漏洞

1. 根据目标操作系统选择适当的漏洞利用变体
2. 配置利用载荷（Meterpreter、Cobalt Strike beacon、自定义 shellcode）
3. 对已确认的易受攻击目标执行利用
4. 验证代码执行并建立会话

阶段三：后渗透

1. 在被控系统上建立持久化
2. 从内存中转储凭据
3. 将被控主机作为枢纽点
4. 记录利用证据

工具与资源

工具	用途
Nmap ms-17-010 NSE 脚本	漏洞检测
Metasploit ms17_010_eternalblue	利用模块
Metasploit ms17_010_psexec	替代利用方法
AutoBlue-MS17-010	独立 Python 利用工具
CrackMapExec	批量 SMB 漏洞扫描

检测指标

• 针对 EternalBlue 利用流量的 IDS/IPS 特征
• 来自异常源主机的 SMBv1 协商
• 事件 ID 7045：利用后安装新服务
• SMB 上的异常命名管道活动
• 具有缓冲区溢出特征的大型 SMB 写入请求

验证标准

• 通过扫描识别了易受攻击的系统
• 在授权目标上实现了漏洞利用
• 通过已建立的会话确认了代码执行
• 已记录后渗透活动
• 已提供修复建议