CVE-2019-0708

CVE-2019-0708 - BlueKeep (RDP)

تسلسل اتصال RDP: https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-rdpbcgr/023f1e69-cfe8-4ee6-9ee0-7e759fb4e4ee

تحليل ثغرة خدمة RDP: https://www.zerodayinitiative.com/blog/2019/5/27/cve-2019-0708-a-comprehensive-analysis-of-a-remote-desktop-services-vulnerability

يرجى الاطلاع على الرابطين أعلاه لفهم كيفية عمل تسلسل اتصال RDP وحول الثغرة الموجودة في برنامج تشغيل نواة RDP لنظام Microsoft Windows - termdd.sys (MS_T120)

تصحيح أخطاء نواة Windows: https://medium.com/@straightblast426/a-debugging-primer-with-cve-2019-0708-ccfa266682f6

منهجي:

أنا مبتدئ في استغلال النواة وتصحيح الأخطاء :)

اليوم 1:

في البداية اطلعت على سكربت الإثبات غير المصادق عليه لـ CVE-2019-0708 "BlueKeep" - cve_2019_0708_bluekeep.rb لفهم كيفية تنفيذ سكربت الإثبات. لذا قمت بتمكين الوضع المفصل في مخزن بيانات metasploit وبدأت تحليل المخرجات. لكن كان من الصعب جداً فهمه. فكرت في تنفيذ نفس الإثبات بلغة بايثون.

اليوم 2:

لقد كتبت الماسح الضوئي لـ CVE-2019-0708 "BlueKeep" غير المصادق عليه في بايثون، مما ساعدني كثيراً في فهم تسلسل اتصال RDP والحزم. ثم بدأت باللعب بحزم RDP لمعرفة سبب الانهيار لمدة يومين، وفشلت :(

ملاحظة: cve_2019_0708_bluekeep.py هو ماسح ضوئي لـ CVE-2019-0708 "BlueKeep" غير مصادق عليه (PoC)، وليس استغلالاً فعلياً.

اليوم 4:

أدركت أين أخطأت :) بدلاً من استخدام سكربت الإثبات الموجود، بدأت في كتابة إثبات من الصفر باستخدام TLS لتسهيل إرسال حزم RDP.

ملاحظة: يرجى قراءة وثائق MSDN بشكل صحيح، كل شيء واضح جداً

اليوم 5:

أخيراً حصلت على الانهيار، تحقق من فيديو العرض التوضيحي :)

العرض التوضيحي

:octocat:الاعتمادات:

• عمر فاروق: OSCE | محلل أمن تكنولوجيا | DevSecops | باحث
• فريق FOS: Fools of Security
• zerosum0x0
• JaGoTu

الدعم !

عنوان البريد الإلكتروني: [email protected] أو [email protected]
يوتيوب: Fools Of Security
الموقع الإلكتروني: Fools Of Security Community

المراجع:

• Zero Day Initiative
• دليل تمهيدي لتصحيح الأخطاء مع CVE-2019–0708