rdpscan لثغرة CVE-2019-0708 bluekeep

هذه أداة فحص سريعة وبسيطة لثغرة CVE-2019-0708 في سطح المكتب البعيد من مايكروسوفت. حاليًا، هناك حوالي 900,000 جهاز على الإنترنت العام معرّض لهذه الثغرة، لذا يتوقع الكثيرون ظهور دودة قريبًا مثل WannaCry وnotPetya. لذلك، افحص شبكاتك وطبّق التصحيحات (أو على الأقل فعّل NLA) على الأنظمة المعرّضة للخطر.

هذه أداة تعمل عبر سطر الأوامر. يمكنك تنزيل الكود المصدري وتجميعه بنفسك، أو تنزيل أحد الملفات الثنائية المجمّعة مسبقًا لنظامي Windows أو macOS من الرابط أعلاه.

تعتمد هذه الأداة كليًا على تصحيح rdesktop من https://github.com/zerosum0x0/CVE-2019-0708. لقد قمت ببساطة باقتطاع الكود بحيث يمكنني تجميعه بسهولة على macOS وWindows، بالإضافة إلى إضافة إمكانية فحص أهداف متعددة.

الحالة

هذه الأداة عمرها بضعة أيام فقط وهي تجريبية. ومع ذلك، أقوم باختبارها عبر فحص الإنترنت بالكامل (بمساعدة masscan، لذلك أعمل على حل الكثير من المشكلات بسرعة كبيرة. يمكنك محاولة التواصل معي على تويتر (@erratarob) للحصول على المساعدة/التعليقات.

• 2019-05-38 - تحسين أوصاف نتائج المخرجات، بالإضافة إلى توثيق معناها (انظر أدناه).
• 2019-05-27 - إصدار ملفات ثنائية لنظامي Windows وmacOS (انقر على الشارات أعلاه).
• 2019-05-26 - إصلاح مشكلات الشبكة في Windows
• 2019-05-25 - يعمل Linux وmacOS بشكل جيد، بينما يعاني Windows من بعض أخطاء الشبكة
• 2019-05-24 - يعمل على Linux وmacOS، ويوجد في Windows بعض أخطاء التجميع
• 2019-05-23 - أعمل حاليًا على macOS داخل XCode

الاستخدام الأساسي

لفحص شبكة، قم بتشغيله كما يلي:

rdpscan 192.168.1.1-192.168.1.255

ينتج عن ذلك واحدة من 3 نتائج لكل عنوان:

• SAFE - إذا تبيّن أن الهدف مُصحَّح أو على الأقل يتطلب CredSSP/NLA
• VULNERABLE - إذا تم تأكيد أن الهدف معرّض للثغرة
• UNKNOWN - إذا لم يستجب الهدف أو حدث خطأ بروتوكولي

عندما لا يوجد شيء على عنوان IP هدف، كانت الإصدارات الأقدم تطبع الرسالة "UNKNOWN - connection timed out". عند فحص الشبكات الكبيرة، ينتج عن ذلك فيض من المعلومات عن أنظمة لا تهمك. لذلك، لا يُنتج الإصدار الجديد هذه المعلومات افتراضيًا إلا إذا أضفت -v (للإسهاب) في سطر الأوامر.

يمكنك زيادة سرعة فحص الشبكات الكبيرة بزيادة عدد العمال:

rdpscan --workers 10000 10.0.0.0/8

ومع ذلك، على جهازي، ينتج حوالي 1500 عامل فقط، بسبب قيود النظام، بغض النظر عن مدى ارتفاع هذه المعلمة.

يمكنك زيادة السرعة أكثر باستخدام هذا بالتزامن مع masscan، كما هو موضح في القسم أدناه.

تفسير النتائج

هناك ثلاثة استجابات عامة:

• SAFE - وتعني أن الهدف غالبًا مُصحَّح أو غير معرّض للثغرة.
• VULNERABLE: وتعني أننا أكدنا أن الهدف معرّض لهذه الثغرة، وأنه عند وصول الدودة، سيُصاب على الأرجح.
• UNKNOWN: وتعني أننا لا نستطيع التأكيد بأي اتجاه، عادةً لأن الهدف لا يستجيب أو لا يشغّل RDP، وهو ما يمثل الغالبية العظمى من الاستجابات. أيضًا، عندما تكون الأهداف منهكة الموارد أو تواجه مشكلات في الشبكة، سنحصل على الكثير من هذه النتائج. أخيرًا، أخطاء البروتوكول مسؤولة عن جزء كبير منها. في حين أن الاستجابات الرئيسية الثلاث هي SAFE وVULNERABLE وUNKNOWN، فإنها تحتوي على نص إضافي يشرح التشخيص. يصف هذا القسم السلاسل النصية المختلفة التي ستراها.

SAFE

هناك ثلاثة أسباب رئيسية تجعلنا نعتقد أن الهدف آمن:

• SAFE - Target appears patched يحدث هذا عندما لا يستجيب الهدف للطلب المُطلق. وهذا يعني أنه نظام Windows تم تصحيحه، أو نظام لم يكن معرّضًا للثغرة من الأساس، مثل Windows 10 أو Unix.
• SAFE - CredSSP/NLA required يعني ذلك أن الهدف يتطلب أولاً مصادقة مستوى الشبكة (Network Level Authentication) قبل أن يمكن إنشاء اتصال RDP. لا يمكن للأداة تجاوز هذه النقطة بدون بيانات اعتماد شرعية، وبالتالي لا يمكنها تحديد ما إذا كان الهدف قد تم تصحيحه. ومع ذلك، لا يمكن للمهاجمين أيضًا تجاوز هذه النقطة لاستغلال الأنظمة المعرّضة للخطر، لذا فمن المرجح أنك "آمن". لكن عند ظهور أدوات الاستغلال، سيتمكن المخترقون الداخليون الذين لديهم أسماء مستخدمين/كلمات مرور صالحة من استغلال النظام إذا لم يكن مُصحَّحًا.
• SAFE - not RDP يعني هذا أن النظام لا يستخدم RDP، لكن لديه خدمة أخرى تستخدم نفس المنفذ، وتنتج استجابة ليست RDP بوضوح. الأمثلة الشائعة هي HTTP وSSH. لاحظ مع ذلك أنه بدلاً من بروتوكول قابل للتحديد، قد يستجيب الخادم بحزمة RST أو FIN. تُعرَّف هذه الحالات بأنها UNKNOWN بدلاً من SAFE/

VULNERABLE

هذا يعني أننا أكدنا أن النظام معرّض لهذه الثغرة.

• VULNERABLE - got appid هناك استجابة واحدة فقط عندما يكون النظام معرّضًا للثغرة، وهي هذه.

UNKNOWN

هناك عدد لا يُحصى من الاختلافات لحالة UNKNOWN:

• UNKNOWN - no connection - timeout هذه هي الاستجابة الأكثر شيوعًا بفارق كبير، وتحدث عندما لا يصدر عن عنوان IP الهدف أي استجابة على الإطلاق. في الواقع، إنها شائعة جدًا لدرجة أنه عند فحص نطاقات كبيرة من العناوين، يتم عادةً حذفها. يجب عليك إضافة العلم -v (verbose) لتفعيلها.
• UNKNOWN - no connection - refused (RST) هذه هي ثاني أكثر الاستجابات شيوعًا بفارق كبير، وتحدث عندما يكون الهدف موجودًا ويستجيب لحركة مرور الشبكة، لكنه لا يشغّل RDP، لذلك يرفض الاتصال بحزمة TCP RST.
• UNKNOWN - RDP protocol error - receive timeout هذه هي ثالث أكثر الاستجابات شيوعًا، وتحدث عندما ننجح في إنشاء اتصال RDP، لكن الخادم يتوقف بعد ذلك عن الاستجابة لنا. يعود ذلك إلى أخطاء الشبكة أو عندما يكون النظام الهدف محمّلًا بشكل زائد لسبب ما. كما يمكن أن يكون بسبب أخطاء شبكة من طرفنا، مثل عندما تكون خلف NAT وتحمّله بعدد كبير جدًا من الاتصالات.
• UNKNOWN - no connection - connection closed يعني هذا أننا أنشأنا اتصالًا (TCP SYN-ACK)، لكن الاتصال يُغلق بعد ذلك فورًا (بواسطة RST أو FIN). هناك أسباب عديدة لحدوث ذلك، لا يمكننا التمييز بينها:
  • النظام يشغّل RDP، لكنه يغلق الاتصال لسبب ما، ربما بسبب نفاد الموارد.
  • النظام لا يشغّل RDP، ولا يستسيغ طلب RDP الذي نرسله إليه، فبدلاً من إرسال رسالة خطأ لطيفة (والتي كانت ستؤدي إلى SAFE - not RDP)، يغلق الاتصال فجأة.
  • بعض الأجهزة الوسيطة، مثل IPS أو جدار حماية أو NAT، أغلقت الاتصال لأنها اعتبرته عدائيًا، أو نفدت مواردها.
  • سبب آخر لم أحدده بعد؛ هناك الكثير من الأشياء الغريبة التي تحدث عندما أفحص الإنترنت.
• UNKNOWN - no connection - host unreachable (ICMP error) الشبكة البعيدة تبلغ أن المضيف لا يمكن الوصول إليه أو أنه لا يعمل. حاول مرة أخرى لاحقًا إذا كنت تعتقد أن هذا المضيف يجب أن يكون نشطًا.
• UNKNOWN - no connection - network unreachable (ICMP error) هناك خطأ شبكة (مؤقت) في الطرف البعيد، حاول مرة أخرى لاحقًا إذا كنت تعتقد أن تلك الشبكة يجب أن تعمل.
• UNKNOWN - RDP protocol error يعني هذا أن بعض الفساد حدث في بروتوكول RDP، إما لأن الطرف البعيد يطبّقه بشكل خاطئ (وليس نظام Windows)، أو لأنه يتعامل مع خطأ شبكة مؤقت بشكل سيئ، أو لسبب آخر.
• UNKNOWN - SSL protocol error منذ Windows Vista، يستخدم RDP بروتوكول STARTTLS للعمل عبر SSL. هذه الطبقة لها مشاكلها الخاصة كما هو مذكور أعلاه، وتشمل التعامل السيئ مع أخطاء الشبكة الأساسية، أو محاولة التواصل مع أنظمة لديها نوع من عدم التوافق. إذا حصلت على رسالة خطأ طويلة جدًا هنا (مثل SSL3_GET_RECORD:wrong version)، فذلك لأن الطرف الآخر لديه خلل في SSL، أو أن مكتبة SSL الخاصة بك التي تستخدمها بها خلل.

الاستخدام مع masscan

أداة rdpscan هذه بطيئة إلى حد ما، إذ تفحص فقط بضع مئات من الأهداف في الثانية. يمكنك بدلاً من ذلك استخدام masscan لتسريع الأمور. أداة masscan أسرع بنحو 1000 مرة، لكنها تعطي معلومات محدودة فقط عن الهدف.