EternalBlueC：永恒之蓝CC实现工具解析

EternalBlueC套件在C/C++中重新构建，涵盖了MS17-010漏洞、EternalBlue/MS17-010漏洞检测器、DoublePulsar检测器以及DoublePulsarUploadDLL和Shellcode上传工具。

该项目的目标包括：

1. 将项目转换为其他语言，如Java和C#，并实现扫描和攻击的图形用户界面（GUI）。

2. 允许编辑永恒之蓝漏洞利用有效负载，以移除DoublePulsar后门，并支持发送自定义负载和Shellcode。

3. 添加对EternalRomance（需要命名管道）的支持。

此外，附加的网络教育代码存储库还包含以下用于教育目的的内容：

1. DoublePulsar x86/x64上传DLL的Python脚本。

2. EternalBlue一体化二进制文件。

3. 多体系结构内核队列apc汇编代码以及Windows x86/x64多体系内核从环0到环3通过排队的APC内核代码。

4. 来自worawit的EternalBlue x64/x86内核有效载荷Shellcode。

5. EternalBlue的回放文件。

以下是EternalBlue Suite的具体实现：

ms17_vuln_status.cpp - 该程序发送了4个SMB数据包，包括1个协商、1个会话设置、1个树连接和1个TransNamedPipe请求。随后，该程序从TransNamedPipeRequest（PeekNamedPipe请求）中读取NT_STATUS响应，并检查SMB数据包中的NT_STATUS是否等于0xC0000205（STATUS_INSUFF_SERVER_RESOURCES）。如果条件满足，则目标系统可能易受MS17-010攻击。该程序已在未修补的Windows 7 x64系统上进行了测试。

doublepulsar_check.cpp - 该程序发送了4个SMB数据包，包括1个协商、1个会话设置、1个树连接和1个Trans2 SESSION_SETUP数据包。通过发送Trans2 SESSION_SETUP数据包，可以将Trans2响应数据包中发送的Multiplex ID（41）与Multiplex ID：0x51或81进行比较。如果响应，则表示计算机上存在DoublePulsar后门。DoublePulsar后门会读取发送的Multiplex ID，在ping命令成功后，在Trans2 SESSION_SETUP响应中为Multiplex ID返回十六进制的+10。随后，发送命令（在SMB数据包的超时参数中发送）以刻录DoublePulsar后门。DoublePulsar后门处于休眠状态，未被移除。该程序已在Windows 7 x64系统上进行了测试。

EternalBlue.cpp - 该程序发送了多个SMB数据包，包括协商、会话设置、树连接以及多个NT trans和Trans2数据包。这些NT传输包的格式不正确，这会在受害者计算机的内存中造成漏洞。更多的空白或空SMB数据包通过多个套接字发送到受害者的同一端口。大部分EternalBlue的base64有效负载通过socket1发送，其中协商、SessionSetup和TreeConnect数据包都在此套接字上发送。然后创建20个其他套接字，并将数据发送到这些套接字（套接字3到套接字21）。之后，DoublePulsar后门通过插座3发送到插座21。随后，程序关闭插座，引爆受害者电脑上的EternalBlue和DoublePulsar后门。然后发送SMB断开连接和SMB注销请求并关闭连接。此漏洞攻击有效，并在Windows 7 x64系统上进行了测试。整个过程大约需要5秒钟让后门完全运行，类似于互联网上报道的永恒之蓝攻击。可能需要更多的利用尝试。然而，目前有一个错误，TreeID和UserID没有在数据包中正确设置，这将在后续版本中修复。当TreeID和UserID设置为默认值时，这将适用于最近打开的计算机。当默认值设置为“0800”时，这些数据包必须更新其TreeID和UserID值。

DoublePulsarXORKeyCalculator.cpp - 该程序发送了4个SMB数据包，包括1个协商数据包和3个请求。最后一个请求是Trans2 SESSION_SETUP请求。然后，接收Trans2 SESSION_SETUP响应，并在（Recvbuff[18]->Recvbuff[22]）处提取SMB签名。SMB签名从十六进制字符转换为无符号整数。该无符号整数通过DoublePulsar XOR密钥计算器函数运行，该函数生成一个XOR密钥，该密钥可用于加密将上传到DoublePulsar后门的shellcode或DLL有效负载。

注意：SESSION_SETUP数据参数必须包含此存储库的有效负载上传部分中计算出的DoublePulsar XOR密钥的char版本。已在Windows 7 x64系统上测试。屏幕截图示例：

doublepulsar_upload.cpp - 该程序发送了4个SMB数据包，包括1个协商、1个会话设置、1个树连接和1个Trans2 SESSION_SETUP数据包。发送Trans2 SESSION SETUP请求数据包以获取Trans2 SESSION_SETUP响应数据包中的SMB签名。该签名通过从DoublePulsar后门二进制文件中提取的DoublePulsar XOR密钥计算器进行处理。然后，程序读取一个DLL文件（示例：payload.dll），并将其与userland shellcode（userland_shellcode.bin）相结合，然后用我们根据SMB签名计算出的DoublePulsar XOR密钥对缓冲区进行XOR运算。数据包通过分配内存，复制Trans2数据包，编辑SMB事务正常工作所需的值（UserID, ProcessID, TreeID, MultiplexID），然后将XORed数据（shellcode + DLL）复制到末尾，并通过它循环发送到DoublePulsar后门。每次发送的总数据包长度为4096字节。数据包总长度=4178。4096一般用于XOR加密数据。这项工作仍在进行中，无法正常工作。

TODO：可能需要使用TRANS2数据包结构实现Trans2上传函数，而不是使用十六进制编辑Trans2数据包进行捕获。

Doublepulsar_UploadShellcode.cpp - 该程序发送了5个SMB数据包，包括1个协商、1个会话设置、1个树连接、1个ping Trans2 SESSION_SETUP数据包和1个exec Trans2 SESSION_SETUP数据包。发送Trans2 SESSION SETUP请求数据包以获取TRANS2 SESSION_SETUP响应数据包中的SMB签名。该签名通过从DoublePulsar后门二进制文件中提取的DoublePulsar XOR密钥计算器进行处理。然后，程序从一个缓冲区（NOPs/x90）复制示例shellcode，它使用我们根据SMB签名计算出的DoublePulsar XOR密钥对缓冲区进行XORs运算。数据包是通过分配内存，复制Trans2 exec数据包（来自Wannacry），编辑SMB事务正常工作所需的值（UserID，TreeID），然后将SESSION_PARAMETERS和4096字节的XORed数据（shellcode）复制到末尾，并以4178字节的数据包总长度将其发送到DoublePulsar后门。数据包总长度=4178，SESSION_PARAMETERS为12。4096一般用于XOR加密数据。这项工作仍在进行中，无法正常工作。

TODO：可能需要使用结构来实现Trans2上载函数，而不是使用十六进制编辑Trans2数据包进行捕获。

项目地址EternalBlueC：

https://github.com/bhassani/EternalBlueC