SMB协议——永恒之蓝漏洞利用

### 如何检测系统是否受永恒之蓝（EternalBlue）漏洞影响 为了检测系统是否受到永恒之蓝（EternalBlue）漏洞的影响，可以通过以下方法实现： #### 方法一：使用微软官方补丁检查 微软针对此漏洞发布了安全更新 MS17-010。如果目标系统已安装 KB4012598 或更高版本的安全补丁，则表明该系统不受 EternalBlue 漏洞影响[^3]。 可通过以下命令检查 Windows 更新状态： ```cmd wmic qfe | findstr /i "KB4012598" ``` 如果没有返回任何结果，则说明未应用相关补丁。 --- #### 方法二：关闭并禁用 SMBv1 协议 由于 EternalBlue 利用了 SMBv1 的设计缺陷，因此可以通过确认系统是否启用了 SMBv1 来间接判断是否存在风险。以下是具体操作方式： 1. **PowerShell 命令检测** 使用 PowerShell 脚本快速验证 SMBv1 是否启用： ```powershell Get-SmbServerConfiguration | Select EnableSMB1Protocol ``` 如果 `EnableSMB1Protocol` 返回值为 True，则表示 SMBv1 已开启；反之则未开启。 2. **注册表路径检测** 手动查看以下注册表项的状态： ``` HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\SMB1 ``` 若键值存在且等于 0，则代表 SMBv1 已被禁用；否则仍处于活动状态[^1]。 --- #### 方法三：利用第三方工具扫描 一些专业的漏洞扫描器支持自动化检测 CVE-2017-0144 和 MS17-010 漏洞的存在情况。推荐使用的工具有： - Nessus - OpenVAS - Metasploit Framework 例如，在 Metasploit 中运行如下模块即可完成测试： ```bash use auxiliary/scanner/smb/ms17_010_command_execution set RHOSTS <target_ip> run ``` 上述脚本会尝试连接到指定 IP 地址上的 SMB 服务，并评估其安全性[^2]。 --- #### 方法四：手动触发异常行为观察法 虽然这种方法存在一定技术门槛，但它能更深入理解漏洞机制。按照参考材料中的描述构建模拟环境后，编写一小段 C/C++ 程序向受害主机发送精心构造的数据包，看是否会引发崩溃或其他非预期反应作为依据之一。 注意：实际环境中切勿滥用此类手段以免触犯法律！ --- ### 总结 综上所述，最简单有效的方式还是依赖厂商提供的修复方案——及时打上对应补丁或者彻底移除老旧协议的支持选项。与此同时也要加强日常运维管理措施防止同类事件再次发生。