本文目录一览：
mssecsvc.exe是什么文件？
WannaCry病毒的一个进程名叫mssecsvc.exe
原病毒文件mssecsvc.exe:
①会释放并执行tasksche.exe文件，然后检查kill switch域名。
②之后它会创建mssecsvc2.0服务。该服务会使用与初次执行不同的入口点执行mssecsvc.exe文件。
③第二次执行会检查被感染电脑的IP地址，并尝试联接到相同子网内每个IP地址的TCP 445端口。
④当恶意软件成功联接到一台电脑时，将会建立联接并传输数据。
拓展资料:
WannaCry（想哭，又叫Wanna Decryptor），一种“蠕虫式”的勒索病毒软件，大小3.3MB，由不法分子利用此前披露的Windows SMB服务漏洞（对应微软漏洞公告：MS17-010）攻击手段，向终端用户进行渗透传播。该恶意软件会扫描电脑上的TCP 445端口(Server Message Block/SMB)，以类似于蠕虫病毒的方式传播，攻击主机并加密主机上存储的文件，然后要求以比特币的形式支付赎金。
勒索金额为300至600美元。2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 传播速度或更快。
截止2017年5月15日，WannaCry造成至少有150个国家受到网络攻击，已经影响到金融，能源，医疗等行业，造成严重的危机管理问题。中国部分Window操作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。
目前，安全业界暂未能有效破除该勒索软件的恶意加密行为。微软总裁兼首席法务官Brad Smith称，美国国家安全局未披露更多的安全漏洞，给了犯罪组织可乘之机，最终带来了这一次攻击了150个国家的勒索病毒。当用户主机系统被该勒索软件入侵后，弹出如下勒索对话框，提示勒索目的并向用户索要比特币。
而对于用户主机上的重要文件，如：照片、图片、文档、压缩包、音频、视频、可执行程序等几乎所有类型的文件，都被加密的文件后缀名被统一修改为“.WNCRY”。目前，安全业界暂未能有效破除该勒索软的恶意加密行为，用户主机一旦被勒索软件渗透，只能通过重装操作系统的方式来解除勒索行为，但用户重要数据文件不能直接恢复。WannaCry主要利用了微软“视窗”系统的漏洞，以获得自动传播的能力，能够在数小时内感染一个系统内的全部电脑。
勒索病毒被漏洞远程执行后，会从资源文件夹下释放一个压缩包，此压缩包会在内存中通过密码：WNcry@2ol7解密并释放文件。这些文件包含了后续弹出勒索框的exe，桌面背景图片的bmp，包含各国语言的勒索字体，还有辅助攻击的两个exe文件。这些文件会释放到了本地目录，并设置为隐藏。（#注释：说明一下，“永恒之蓝”是NSA泄露的漏洞利用工具的名称，并不是该病毒的名称#）WannaCry利用Windows操作系统445端口存在的漏洞进行传播，并具有自我复制、主动传播的特性。
被该勒索软件入侵后，用户主机系统内的照片、图片、文档、音频、视频等几乎所有类型的文件都将被加密，加密文件的后缀名被统一修改为．WNCRY，并会在桌面弹出勒索对话框，要求受害者支付价值数百美元的比特币到攻击者的比特币钱包，且赎金金额还会随着时间的推移而增加。
参考链接：恶意软件 百度百科
巴黎蓝和永恒蓝的区别
区别如下：
1、巴黎蓝色PARISBLUE，是法国时尚品牌，坐落于巴黎的中心，自1989创立开始一直致力于创造和售卖高质量的香水。
2、永恒之蓝是指2017年4月14日晚，黑客团体ShadowBrokers公布一大批网络攻击工具，其中包含永恒之蓝工具。
MS17-010远程溢出漏洞（CVE-2017-0143）
Nmap :端口扫描探测工具，用于探测端口开放情况，本次使用其端口扫描和漏洞扫描功能
mestasploit ：开源的渗透测试框架软件、综合型漏洞利用工具，本次实验使用其漏洞利用模块、meterpreter组件
漏洞原理简述
MS17-010漏洞出现在Windows SMB v1中的内核态函数 srv!SrvOs2FeaListToNt 在处理 FEA (File Extended Attributes)转换时，在大非分页池(Large Non-Paged Kernel Pool)上存在缓冲区溢出。
函数 srv!SrvOs2FeaListToNt 在将 FEA list转换成 NTFEA (Windows NT FEA) list前会调用 srv!SrvOs2FeaListSizeToNt 去计算转换后的FEA lsit的大小，因计算大小错误，而导致缓冲区溢出。
曾经NSA工具箱泄露时，我们已经对永恒之蓝这个工具的使用做过讲解！ 【NSA黑客工具包】Windows 0day验证实验 。
然而，该工具的使用环境比较苛刻，而且操作较为复杂，现在msf已经加入该系列工具，使用方法更便捷。接下来，就开始操作吧！
打开Kali终端，使用Nmap对目标机开放端口进行扫描
目标机开放了 135 139 445 3389 等端口，且目标机系统为Windows7,
我们使用用扫描模块，判断该漏洞是否可利用
终端内输入
打开 metasploite 命令行客户端，使用 search 命令查找ms17-010漏洞的相关模块
如下是相关可用模块
使用 use 命令选择我们要使用的扫描模块
在运行该模块之前，需要设置相关选项，我们使用 show options 查看配置信息
需要设置目标地址，设置命令：
设置完成后，执行 run 或 exploit 命令，等待执行结果
从上一步骤可以看出，该漏洞是可被利用的，接下来，我们祭出漏洞利用模块
步骤同上，查看配置信息，并设置标记为yes的属性
show options
目标机host地址:172.16.12.2
set RHOST 172.16.12.2
之后，选择载荷 payload ，也就是 shellcode ,此处我们选择回连至控制端 shell 的 payload
同样，载荷也需要进行配置， show options 查看配置信息
配置中缺少本地主机 RHOST，设置一下
完成配置后，运行 exploit 或者 run ,开始执行漏洞利用模块
成功获取来自目标主机的Session会话
我们已经成功的获取Session会话了，本次我们继续介绍meterpreter后渗透模块的其他功能
运行 sysinfo 查看目标机器相关信息
执行 help 命令可以帮助我们了解meterpreter有哪些功能
接下来，我们获取目标机hash值
执行 hashdump
mimikatz 是一个知名的密码提取神器。它支持从Windows系统内存中提取明文密码、哈希、PIN码和Kerberos凭证等， meterpreter 中正集成了这款工具。
执行 load mimikatz 即可加载该工具，其命令与 mimikatz 一样
运行命令 msv ,导出hash
然后执行 kerberos 即可获得目标机账号密码
获取了目标机的账号密码，我们结合nmap的扫描结果，可以远程登陆目标机 但是现实中，防火墙一般会拦截外来3389端口的访问请求，这种情况下该怎么解决呢？
我们可以使用端口转发工具，将端口转发到访问者本地机器的某个端口，从而进行连接
运行命令
此处，我们将远程目标的3389端口，转发到本机 172.16.11.2的3389上
如此，我们只要执行
即可登陆远程目标机器
通过本次实验，我们熟悉了从发现漏洞、到验证漏洞、再到利用漏洞这一过程，并进一步学习了Metasploit的后渗透模块的其他使用案例。
通过结合实例去学习MSF的使用，反复训练，相信大家一定能熟能生巧，彻底掌握这一工具。