搜索

[11419] 2017-06-04_NSA武器库Esteemaudit黑客工具复现

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-04_NSA武器库Esteemaudit黑客工具复现 N S A 武 器 库 E s t e e m a u d i t 黑 客 工 具 复 现 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 6 - 0 4 一 、 一 、 导 语 导 语 继 继 2 0 1 7 年 年 5 月 月 1 2 号 肆 虐 全 球 的 号 肆 虐 全 球 的 W a n n a C r y 勒 索 病 毒 攻 击 后 ， 安 全 专 家 向 正 在 使 用 勒 索 病 毒 攻 击 后 ， 安 全 专 家 向 正 在 使 用 W i n d o w s   X P 和 和 W i n d o w s   S e r v e r   2 0 0 3 的 用 户 发 的 用 户 发 出 了 安 全 警 告 ， 提 防 利 用 名 为 出 了 安 全 警 告 ， 提 防 利 用 名 为 “ E s t e e m a u d i t ” 的 黑 客 工 具 进 行 的 第 二 波 网 络 攻 击 。 的 黑 客 工 具 进 行 的 第 二 波 网 络 攻 击 。 “ E s t e e m a u d i t ” 黑 客 工 具 ， 同 黑 客 工 具 ， 同 W a n n a C r y 勒 索 勒 索 病 毒 利 用 的 病 毒 利 用 的 “ E t e r n a l B l u e ” 黑 客 工 具 一 样 ， 是 黑 客 工 具 一 样 ， 是   S h a d o w   B r o k e r s ” 近 期 泄 露 的 近 期 泄 露 的 N S A 旗 下 的 黑 客 团 队 旗 下 的 黑 客 团 队   “ E q u a t i o n   G r o u p ” 的 众 多 漏 洞 的 众 多 漏 洞 利 用 工 具 之 一 。 利 用 工 具 之 一 。 “ E s t e e m a u d i t ” 是 R D P ( R e m o t e   D e s k t o p   P r o t o c o l )   服 务 的 远 程 漏 洞 利 用 工 具 ， 可 以 攻 击 开 放 了 3 3 8 9   端 口 的   W i n d o w s   机 器 。 黑 客 们 利 用 它 可 以 对 电 脑 进 行 远 程 控 制 、 加 密 勒 索 等 攻 击 。 腾 讯 安 全 反 病 毒 实 验 室 对 “ E s t e e m a u d i t ” 黑 客 工 具 进 行 复 现 ， 同 时 给 出 了 该 漏 洞 的 防 御 方 法 。 二 、 二 、 漏 洞 分 析 漏 洞 分 析 1 .   漏 洞 环 境 漏 洞 环 境 W i n d o w s   X P 或 W i n d o w s   S e r v e r   2 0 0 3 系 统 、 域 控 环 境 、 开 启 远 程 桌 面 。 2 .   漏 洞 概 述 漏 洞 概 述 （ 攻 击 示 意 图 ） W i n d o w s   2 0 0 0 系 统 的 一 项 新 特 性 是 支 持 S m a r t   C a r d 认 证 。 W i n d o w s   s e r v e r   2 0 0 3 在 处 理 来 自 S m a r t   C a r d 的 远 程 登 录 过 程 中 存 在 一 个 越 界 写 漏 洞 和 一 个 逻 辑 不 正 确 漏 洞 ， P O C 通 过 模 拟 出 一 个 G e m p l u s   G e m S A F E   C a r d 硬 件 设 备 来 与 服 务 器 进 行 远 程 桌 面 通 信 ， 通 信 协 议 则 采 用 的 是 R D P 。 通 过 伪 造 一 系 列 S m a r t   C a r d 登 录 认 证 所 需 要 的 数 据 包 来 触 发 漏 洞 并 最 终 实 现 远 程 代 码 执 行 。 具 体 漏 洞 分 析 参 见 [ 1 ] 。 3 .   现 场 分 析 现 场 分 析 复 现 “ E s t e e m a u d i t ” 黑 客 工 具 的 方 法 参 见 文 档 [ 2 ] [ 3 ] 本 次 实 验 环 境 ： I P 系 统 信 息 系 统 信 息 用 途 用 途 1 9 2 . 1 6 8 . 1 . 1 0 0 W i n d o w s   S e r v e r   2 0 0 3 D C 主 机 1 9 2 . 1 6 8 . 1 . 1 1 0 W i n d o w s   X P 受 害 机 、 域 用 户 1 9 2 . 1 6 8 . 1 . 1 2 0 W i n 7 攻 击 机 、 控 制 机 在 攻 击 机 1 9 2 . 1 6 8 . 1 . 1 2 0 使 用 “ E s t e e m a u d i t ” 工 具 对 受 害 机 1 9 2 . 1 6 8 . 1 . 1 1 0 进 行 攻 击 。 1 )   模 拟 模 拟 S m a r t   C a r d 登 录 登 录
首 先 “ E s t e e m a u d i t ” 工 具 会 使 用 开 源 的 R D P 协 议 ， 模 拟 S m a r t   C a r d 硬 件 设 备 来 与 受 害 机 进 行 远 程 桌 面 通 信 ： （ R D P 通 信 ） 2 )   发 送 发 送 s h e l l c o d e 数 据 数 据 在 通 信 过 程 中 ， 会 将 构 造 好 的 s h e l l c o d e 数 据 通 过 数 据 包 发 送 到 受 害 机 上 ， 用 于 完 成 漏 洞 攻 击 ， 并 反 弹 s h e l l 回 连 攻 击 机 ， 接 收 攻 击 机 的 后 续 指 令 ： （ 发 送 s h e l l c o d e 数 据 ） （ s h e l l c o d e 数 据 流 量 包 ） 3 )   反 弹 反 弹 s h e l l c o d e 可 以 看 到 ， 受 害 机 主 动 连 接 了 攻 击 机 ： （ 反 弹 s h e l l ）
（ 受 害 机 成 功 建 立 反 弹 s h e l l ） 至 此 ， 攻 击 完 成 整 个 攻 击 阶 段 ， 等 待 接 收 攻 击 机 的 远 控 指 令 ， 可 以 对 受 害 机 进 行 远 程 控 制 、 加 密 勒 索 等 形 式 的 攻 击 。 三 、 三 、 防 御 建 议 防 御 建 议 Ø   关 闭 远 程 桌 面 ， 退 出 域 环 境 。 Ø   因 业 务 需 求 而 不 能 关 闭 远 程 桌 面 的 ， 可 以 开 启 防 火 墙 ， 加 强 对 3 3 8 9 端 口 的 审 计 。 Ø   不 排 除 微 软 会 提 供 漏 洞 补 丁 ， 及 时 打 补 丁 。 Ø   安 装 开 启 杀 毒 引 擎 ， 防 患 于 未 然 。 四 、 四 、 参 考 文 献 参 考 文 献 [ 1 ]   h t t p : / / s l a b . q q . c o m / n e w s / t e c h / 1 5 7 0 . h t m l [ 2 ]   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 3 2 1 7 1 . h t m l [ 3 ]   h t t p : / / p a p e r . s e e b u g . o r g / 3 0 6 / * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理