# Exploiting Ms17 010 Eternalblue Vulnerability

> MS17-010（EternalBlue）是微软 SMBv1 实现中的一个严重漏洞，允许远程代码执行。最初由 NSA 发现，2017 年被 Shadow Brokers 泄露，曾被用于 WannaCry 和 NotPetya 勒索软件攻击活动。

- Skill: `killvxk/exploiting-ms17-010-eternalblue-vulnerability` (Agent Skill, multi-file: 8 files)
- Install (CLI): `npx skillmds@latest add killvxk/exploiting-ms17-010-eternalblue-vulnerability`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/exploiting-ms17-010-eternalblue-vulnerability/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/exploiting-ms17-010-eternalblue-vulnerability

---

# 利用 MS17-010 EternalBlue 漏洞

## 概述

MS17-010（EternalBlue）是微软 SMBv1 实现中的一个严重漏洞，允许远程代码执行（RCE）。最初由 NSA 发现，2017 年被 Shadow Brokers 泄露，被用于 WannaCry 和 NotPetya 勒索软件攻击活动。尽管自 2017 年 3 月起已有补丁，但许多组织仍有未打补丁的系统，使其成为特别在传统环境中可行的红队利用向量。

## MITRE ATT&CK 映射

- **T1210** - 远程服务利用
- **T1190** - 利用面向公众的应用
- **T1569.002** - 系统服务：服务执行

## 实施步骤

### 阶段一：漏洞扫描
1. 扫描目标网络的 SMB 端口 445
2. 检查 SMBv1 协议支持
3. 运行 MS17-010 漏洞检查（Nmap NSE 脚本或 Metasploit 辅助模块）
4. 记录具有操作系统版本和补丁级别的易受攻击系统

### 阶段二：利用漏洞
1. 根据目标操作系统选择适当的漏洞利用变体
2. 配置利用载荷（Meterpreter、Cobalt Strike beacon、自定义 shellcode）
3. 对已确认的易受攻击目标执行利用
4. 验证代码执行并建立会话

### 阶段三：后渗透
1. 在被控系统上建立持久化
2. 从内存中转储凭据
3. 将被控主机作为枢纽点
4. 记录利用证据

## 工具与资源

| 工具 | 用途 |
|------|---------|
| Nmap ms-17-010 NSE 脚本 | 漏洞检测 |
| Metasploit ms17_010_eternalblue | 利用模块 |
| Metasploit ms17_010_psexec | 替代利用方法 |
| AutoBlue-MS17-010 | 独立 Python 利用工具 |
| CrackMapExec | 批量 SMB 漏洞扫描 |

## 检测指标

- 针对 EternalBlue 利用流量的 IDS/IPS 特征
- 来自异常源主机的 SMBv1 协商
- 事件 ID 7045：利用后安装新服务
- SMB 上的异常命名管道活动
- 具有缓冲区溢出特征的大型 SMB 写入请求

## 验证标准

- [ ] 通过扫描识别了易受攻击的系统
- [ ] 在授权目标上实现了漏洞利用
- [ ] 通过已建立的会话确认了代码执行
- [ ] 已记录后渗透活动
- [ ] 已提供修复建议