MS17-010永痕之蓝漏洞流量分析

# MS17-010永痕之蓝漏洞流量分析
## 一、测试
![](/zb_users/upload/2020/08/202008181616493643366.png)
![](/zb_users/upload/2020/08/202008181617557318232.png)

## 二、流量分析
2.1首先攻击机（Kali Linux）向靶机（Windows 2008 R2）发送一个SMB的Negotiate Protocol Request（协商协议请求）数据报，并列出攻击机所支持的SMB协议版本。

![](/zb_users/upload/2020/08/202008181612573282209.png)

2.2服务器响应一个SMB的Negotiate Protocol Response （协商协议响应）数据报； (如果无可使用的协议版本则返回0XFFFFH，结束通信。)

![](/zb_users/upload/2020/08/202008181613113351643.png)

2.3攻击机（Kali Linux）向靶机（Windows 2008 R2）发起一个Session setup X request（会话设置请求）数据报，会话的用户身份为：anonymous（匿名用户）

![](/zb_users/upload/2020/08/202008181613239859408.png)

2.4靶机（Windows 2008 R2）确认身份后发送一个Session Setup X Response（会话设置响应）数据报同意本次连接。

![](/zb_users/upload/2020/08/202008181613358152988.png)

2.5协商和认证成功之后，攻击机向靶机发送一个Tree Connect AndX Request（树连接和请求）数据报，列出要访问的网络资源的名称（匿名管道共享）

![](/zb_users/upload/2020/08/202008181613462251271.png)

2.6服务器会发送一个Tree Connect AndX Response（树连接和响应）数据报，同意访问资源，并列出访问者的权限

![](/zb_users/upload/2020/08/202008181614017441924.png)

2.7连接到相应资源后，进行正常的网络共享访问

SMB客户端通过：open SMB、read SMB、write SMB、close SMB实现打开、读取、写入、关闭共享文件。

村口曹师傅