ms17010漏洞原理

2017年4月14日，漏洞影子经纪人（Shadow Brokers）黑客组织把一堆NSA的原理机密工具扔到了网上。里面有个东西叫EternalBlue，漏洞翻译过来就是原理永恒之蓝。这东西后来成了互联网世界里最臭名昭著的漏洞名字之一，它就是原理MS17-010漏洞的利用工具。

MS17-010的漏洞根子在Windows的SMBv1协议里。SMB是原理用来做文件共享和打印机共享的，说白了就是漏洞局域网里互相传文件用的老协议。Windows对它的原理兼容性做得太“好”了，以至于这个1992年就存在的漏洞协议一直活到了Win10时代。

漏洞的原理具体触发点是在SMBv1处理特定格式的数据包时，存在一个缓冲区溢出。漏洞攻击者可以构造一个特殊的原理SMB报文，发到目标机器的漏洞445端口，然后利用Windows内核态里的一个函数指针，把恶意代码的执行流程给劫持了。整个过程快到让人来不及反应，不需要用户点任何东西，不需要输入密码，只要对方开着445端口且没打补丁，就能直接拿下SYSTEM权限。

这里有个很反直觉的地方——漏洞利用居然不需要知道目标机器的账号密码。因为整个攻击发生在系统内核层，是在操作系统验证用户身份之前就完成了代码注入。这就像你家门锁还没检查来者是谁，人家已经把门卸了。

我见过一台被永恒之蓝打穿的Windows Server 2008机器，攻击者植入的挖矿程序悄悄跑了三个月，CPU占用率一直维持在15%左右。管理员一直以为是数据库的定时任务，直到某天他查看网络连接，发现这台内网服务器在疯狂向境外IP发送加密数据包。查日志才发现，3月12日凌晨2点47分，有人通过永恒之蓝进来，留下了一个后门服务，服务名伪装成“Windows Update Service”。

这个漏洞之所以恐怖，还在于它把横向移动变得太简单了。一个内网里只要有一台机器被攻破，攻击者就能用它当跳板，扫描整个网段，把其它没打补丁的机器全部打穿。2017年5月爆发的WannaCry勒索病毒就是这么干的——它用永恒之蓝自动传播，几天内就感染了150多个国家的几十万台电脑。英国国家医疗服务体系的电脑被锁，手术被迫取消；中国部分高校的毕业生论文被加密，有人被勒索300美元等值的比特币。讽刺的是，微软在漏洞公开前两个月其实就已经发布了补丁，但全球大量机器没更新——尤其是那些老旧系统，比如Windows XP，微软本来已经停止支持，后来被迫紧急发布了补丁。

现在2024年了，我依然能在渗透测试里碰到开放445端口的机器。有些是老旧工控设备，没法随便重启；有些是内部系统管理员觉得“内网很安全”懒得打补丁。每次扫到这类机器，我心里都觉得挺魔幻的——一个2017年的老漏洞，到现在依然能放倒一批设备。MS17-010的技术细节早就被翻烂了，网上随便都能找到完整的利用代码，甚至还有图形化工具，点两下鼠标就能入侵一台机器。

这个漏洞真正值得反思的地方在于：安全补丁的传播速度永远赶不上漏洞利用工具的扩散速度。微软的工程师在2017年3月就修复了它，但直到今天，互联网上依然有大量暴露在445端口下的Windows设备。技术本身并不复杂，复杂的是让所有设备都及时更新——这件事，比写漏洞利用代码难多了。