对win7渗透测试

MS17-010补丁没打的渗透Win7机器，插上网线那一刻基本就是测试裸奔。我上周在VMware里装了一台Win7 SP1旗舰版，渗透没开防火墙，测试没装任何杀软，渗透从Kali发起扫描到拿到SYSTEM权限，测试全程不到四分钟。渗透这不是测试夸张，是渗透SMB漏洞的真实效率。

渗透测试Win7，测试核心就三条路：MS17-010永恒之蓝、渗透弱口令加IPC$、测试以及钓鱼配合HID注入。渗透第三条对物理接触要求高，测试先放一边。渗透重点说前两条。

扫描阶段：别急着上MSF

很多人拿到目标IP直接msfconsole，这不叫渗透，叫碰运气。先用nmap -sV -p 445,139,135,3389 192.168.1.0/24把存活主机和开放端口摸清楚。Win7默认开445和139，这两个端口一开，SMB协议就是主战场。

我习惯再加一步：nmap --script smb-vuln-ms17-010 -p 445 目标IP。这个脚本直接告诉你漏洞存不存在，比MSF里盲打模块快得多。上周扫到的那台机器，脚本返回VULNERABLE，状态是VULNERABLE，连State: VULNERABLE都给你标好了，省得猜。

永恒之蓝：四分钟拿shell

确认漏洞后，MSF的exploit/windows/smb/ms17_010_eternalblue模块直接上。设置RHOSTS、LHOST、LPORT，check一下确认，然后exploit。我那次跑的时候，屏幕刷了几行[+]，接着就弹出meterpreter会话。输入getuid，返回NT AUTHORITY\SYSTEM。整个过程从敲下回车到拿到最高权限，计时器显示3分42秒。

拿到meterpreter之后，hashdump把SAM里的NTLM哈希全导出来。Win7的LM哈希默认还开着，用john跑rockyou.txt，本地管理员密码如果设得简单，几分钟就出明文。我那次跑出来一个admin123，说实话，这种密码在真实环境里一抓一大把。

弱口令加IPC$：更安静的路子

永恒之蓝动静大，流量特征明显，IDS一抓一个准。如果目标打了MS17-010补丁但没改弱口令，走IPC$更隐蔽。net use \\目标IP\IPC$ /user:administrator 密码，连上之后copy一个psexec或者wmiexec过去，远程执行命令。这条路不需要漏洞，只需要管理员偷懒。

我见过一台Win7，补丁打到最新，防火墙也开了，但Administrator密码是P@ssw0rd。这种复杂度看着够，实际上在hashcat的掩码攻击面前撑不过二十分钟。所以渗透测试里，弱口令永远比漏洞更值得先试。

清理痕迹这件事

Win7的日志清理比Win10粗糙。wevtutil cl System、wevtutil cl Security、wevtutil cl Application三条命令下去，事件日志基本清空。但wevtutil本身会留一条日志，得手动再清一次。我一般用meterpreter的clearev，一步到位，不过它清得不彻底，C:\Windows\System32\winevt\Logs下面还有残留文件。真要干净，得进vssadmin把卷影副本也删了。

说句实在话，Win7现在还在跑的机器，要么是工业控制环境，要么是老旧办公终端。前者动不得，后者往往连补丁策略都没人管。渗透测试这类目标，技术难度不高，难的是拿到授权、控制影响范围、以及测完之后怎么说服运维把那台机器下线。

我测完那台Win7之后，给管理员写了三行建议：打MS17-010补丁、关掉445端口、把本地管理员密码换成十六位随机串。他回了一句“这机器就打印个报表，没人管”。你看，问题从来不在技术层面。