Discussione Nel 2023 eternalblue è una vulnerabilità molto grave

[monnezzza]

INTRODUZIONE​

Ho fatto un test per verificare quante macchine sono ancora vulnerabili ad eternalblue nel 2023.​

PARTE TECNICA​

Ho usato shodan per vedere quanti dispositivi sono ancora vulnerabili ad eternalblue.

Avendo l'account studente ho accesso al filtro vuln.
Ho mandato una mail per farmi approvare come ricercatore e mi hanno accettato la richiesta e allora ho potuto scaricare il file.

Quindi ho creato un script in goalng che manda una semplice richiesta http ad un mio web server e questo mi serviva per avere un callback dai targets (so che è illegale quello che ho fatto, ma in mia difesa non ho aperto nessuna Shell, ho solo fatto una richiesta http.)
Per l'exploit ho usato il modulo ms17_010_psexec di Metasploit che exploita una variante di eternal blue chiamata eternal romance (ho usato eternal romance perchè ha lo 0% di possibilità di far crashare il target e non volevo causare danni).
Ho passato a Metasploit il file con gli ip e la mia payload custom (x86).
Ho fatto andare l'exploit per una notte e mentre ero a scuola, quando ha finito ho controllato sul webserver quante richieste gli sono arrivate (salvate in un file txt)​

CONCLUSIONE​

I risultati sono:
In totale i dispositivi vulnerabili erano 287.
197: Windows XP/Windows Server 2003
72: Windows 7/Windows Server 2008
17: Windows 8/8.1/Windows Server 2012
1: Windows 10

Questi dati magari non sono accurati perché dei PC potrebbero aver avuto degli idr che bloccano l'exploit o delle macchine potevano essere spento o offile in quel momento.

Ps: Ricordo che non dovete imitare quello che ho fatto, ma l'ho fatto solo per ricerca​

 

[Netcat]

I risultati su Windows XP sono fallimentari perché un sacco di IP sono honeypot. La situazione su XP e Windows Server 2003 è controversa perché seppur vero che essendo OS datati abbiano maggior rischio di non avere la patch, dall'altro lato sono ormai quasi stati tutti rimpiazzati con tecnologia moderna. Questi honeypot restituiscono falsi positivi se scansionati, stanno lì solo per aspettare che qualcuno ci si connette. Non è neanche detto che siano honeypot "white hat", dato che questi "OS-trappola" possono essere messi su da chiunque. Scansionali sempre da dietro un proxy per sicurezza.