MS08-067 漏洞复现报告

• 漏洞简介

MS08-067漏洞全称是“Windows Server服务RPC请求缓冲区溢出漏洞”，攻击者利用受害者主机默认开放的SMB服务端口445，发送特殊RPC（Remote Procedure Call，远程过程调用）请求，造成栈缓冲区内存错误，从而被利用实施远程代码执行。

MS08-067漏洞将会影响Windows 2000/XP/Server 2003/Vista/Server 2008的各个版本，甚至还包括 测试阶段的Windows 7 Pro-Beta。 如果用户在受影响的系统上收到特制的 RPC 请求，则该漏洞可能允许远程执行代码。 在 Microsoft Windows 2000、Windows XP 和 Windows Server 2003 系统上，攻击者可能未经身份验 证即可利用此漏洞运行任意代码。 此漏洞可能用于进行蠕虫攻击。 防火墙最佳做法和标准的默认防火 墙配置有助于保护网络资源免受从企业外部发起的攻击。

       漏洞原理：

MS08-067漏洞是通过MSRPC over SMB通道调用Server程序中的NEtPathCanonicalize函数时触发的。NetPathCanonicalize函数在远程访问其他主机时，会调用NetpwPathCanonicalize函数，对远程访问的路径进行规范化，而在NetpwPathCanonicalize函数中发生了栈缓冲区内存错误（溢出），造成可被利用实施远程代码执行（Remote Code Execution）。

二.  环境搭建

1.环境准备

• 受害机：Windows XP SP3
• 攻击机：Kali系统

第一步，在虚拟机中安装Windows XP SP3系统和Kali系统。

第二步，测试网络（XP系统需要关闭防火墙）。

• 利用Metasploit复现漏洞

第一步，进入Msfconsole并利用search语句查找漏洞利用模块。

第二步，进入漏洞模块，并查看相关的使用说明。

第三步，设置攻击机、受害机信息和payload

第四步，运行exploit，通过shell进入目标cmd

 第五步，在目标主机创建新用户名

第六步，实现键盘记录

         目标主机打开记事本

          查看记事本进程

          执行migrate 652（进程号），开启keyscan_start键盘记录

           在目标主机记事本中输入内容，执行keyscan_dump显示内容