震网三代 CVE-2017-8464 关于Powershell 漏洞复现

漏洞原理:

Windows系统通过解析 .LNK 后缀文件时，是使用二进制来解析的，而当恶意的二进制代码被系统识别执行的时候就可以实现远程代码执行，由于是在explorer.exe进程中运行的，所以load进内存的时候与当前用户具有相同的权限。

于是攻击者利用这一解析过程的漏洞，将包含恶意二进制的代码被附带进可移动驱动器(或远程共享过程中)，受害者使用powershell解析 .LNK 文件后就会被黑客所控制。

受影响版本:

windows 7（32/64位）

windows 8（32/64位）

windows 8.1（32/64位）

windows 10（32/64位,RTM/TH2/RS1/RS2）

windows server 2008（32/64位/IA64）

windows server 2008 R2（64位/IA64）

windows server 2012

windows server 2012 R2

windows server 2016

windows Vista

复现过程:

1. 首先搭建环境为:

攻击机Kali : kali-linux-amd64

靶机Win10 : windows 10 x64 1703版本

靶机Win7 : windows 7 x64 SP1

在攻击之前，首先需要在Kali中安装一个名为Empire的工具，其用法详见 :

https://www.anquanke.com/post/id/87328

2. 使用Empire工具对Win10系统进行攻击，如下图所示：

这里会发现，帝国工具与msf有着差不多的样子。

然后我们使用Windows能够识别的脚本，即生成 .bat文件，然后立刻会存放在/tmp 下:

使用记事本打开bat脚本时，可以看到，恶意二进制代码使用base64加密:

将这个名为launcher.bat的文件在Windows中运行起来时，回到监听端口就可以看到目标主机已经上线 :

如此，Windows就获得了当前用户权限:

3. 对Win7系统进行攻击 :

使用相同的方法，可以看到Win7也已经成功在监听方上线了：

接下来我们进入监听的win7，进行进一步的提权操作(这里我想使用将shell弹回msf进行提权,当然也可以在帝国提权):

这里usemodule code_execution/invoke_shellcode

set Lhost 与 Lport都为msf所在的IP地址和端口:

此处可以看到提权得到的权限为system，而使用mimikatz可以直接获得用户明文密码；

修复建议:

1. 及时针对CVE-2017-8464所对应的补丁进行安装

2. 禁止系统开启U盘自动播放

3. 安装杀软来进行防护

震网三代 CVE-2017-8464 关于Powershell 漏洞复现相关推荐

CVE-2017-8464（震网三代）漏洞分析与复现
目录一.CVE-2017-8464漏洞简介 1.简介 2.CVE-2017-8464漏洞原理 3.漏洞影响范围二.复现环境三.漏洞复现 1.kali下生成一个反弹的ps1的shell,文件名为s ...
CVE2017-8464：震网三代漏洞分析
CVE2017-8464:震网三代漏洞分析(转) 转载本文由Kilig原创发布转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/214846 安全 ...
震网三代漏洞复现（CVE-2017-8464）
文章目录影响版本危害漏洞原理漏洞复现任务环境创建EXP 获取靶机权限利用Powershell获取权限修复建议影响版本 Windows 7Windows 8.1Windows RT 8 ...
msf之使用震网三代来提权
cve_2017_8464_lnk_lpe,他就是震网三代的exploit 上次没有成功将x64的搞定,现在搬来了震网三代看我来个远程执行漏洞的提权前面已经拿到shell,但没有system权限 ...
android 漏洞发布,CVE发布2016年软件漏洞排行榜报告：安卓以523处位居第一
IT之家讯 1月3日消息,近期CVE Details公布了2016年软件漏洞数量最新报告,根据报告显示,漏洞存在数量最多的是安卓系统,以523处漏洞位居第一,排名第二的为Debian Linux系统, ...
CVE(2017-15715、2021-41773、2021-40438)漏洞复现
仅用于学习参考,不要贪玩哦(*^▽^*) 目录 CVE-2017-15715 漏洞介绍漏洞复现 CVE-2021-41773 漏洞介绍漏洞复现 CVE-2021-40438 漏洞介绍漏洞复现一 ...
Office 远程代码执行漏洞复现过程
本文来自作者肖志华在 GitChat 上分享「Office 远程代码执行漏洞复现过程」,「阅读原文」查看交流实录. 编辑 | 天津饭直接贴本地复现过程,至于怎么利用还请自己思考. 2017年11月 ...
java rmi漏洞工具_学生会私房菜【20200924】Weblogic WLS核心组件反序列化命令执行突破（CVE20182628）漏洞复现...
学生会私房菜学生会私房菜是通过学生会信箱收集同学们的来稿,挑选其中的优质文档,不定期进行文档推送的主题. 本期文档内容为:Weblogic WLS核心组件反序列化命令执行突破(CVE-2018-26 ...
php打开网页执行即执行bat程序_CVE202011107：XAMPP任意命令执行漏洞复现
0x00简介 XAMPP是一个把Apache网页服务器与PHP.Perl及MariaDB集合在一起的安裝包,允许用戶可以在自己的电脑上轻易的建立网页服务器.该软件与phpstudy类似. 2020年4 ...

震网三代 CVE-2017-8464 关于Powershell 漏洞复现

漏洞原理:

受影响版本:

复现过程:

1. 首先搭建环境为:

2. 使用Empire工具对Win10系统进行攻击，如下图所示：

3. 对Win7系统进行攻击 :

修复建议:

震网三代 CVE-2017-8464 关于Powershell 漏洞复现相关推荐

最新文章

热门文章