rdpscan für CVE-2019-0708 Bluekeep-Schwachstelle

Dies ist ein schneller und schmutziger Scanner für die Sicherheitslücke CVE-2019-0708 in Microsoft Remote Desktop. Derzeit gibt es etwa 900.000 Maschinen im öffentlichen Internet, die für diese Schwachstelle anfällig sind, daher wird bald ein Wurm wie WannaCry und notPetya erwartet. Scannen Sie daher Ihre Netzwerke und patchen Sie (oder aktivieren Sie zumindest NLA) auf anfälligen Systemen.

Dies ist ein Kommandozeilen-Tool. Sie können den Quellcode herunterladen und selbst kompilieren, oder Sie können eine der vorkompilierten Binärdateien für Windows oder macOS über den obigen Link herunterladen.

Dieses Tool basiert vollständig auf dem rdesktop-Patch von https://github.com/zerosum0x0/CVE-2019-0708. Ich habe lediglich den Code reduziert, damit ich ihn problemlos unter macOS und Windows kompilieren kann, und die Möglichkeit hinzugefügt, mehrere Ziele zu scannen.

Status

Dies ist erst ein paar Tage alt und experimentell. Ich teste es jedoch, indem ich das gesamte Internet scan (mit Hilfe von masscan), sodass ich viele Probleme relativ schnell bearbeite. Sie können mich auf Twitter (@erratarob) für Hilfe/Kommentare kontaktieren.

• 2019-05-28 - Bessere Beschreibungen der Ausgabeergebnisse sowie Dokumentation ihrer Bedeutung (siehe unten).
• 2019-05-27 - Windows- und macOS-Binärdateien veröffentlicht (klicken Sie auf die Badges oben).
• 2019-05-26 - Behebung der Windows-Netzwerkprobleme
• 2019-05-25 - Linux und macOS funktionieren gut, Windows hat einige Netzwerkfehler
• 2019-05-24 - funktioniert unter Linux und macOS, Windows hat einige Kompilierungsfehler
• 2019-05-23 - derzeit Arbeit unter macOS in XCode

Hauptverwendung

Um ein Netzwerk zu scannen, führen Sie es wie folgt aus:

rdpscan 192.168.1.1-192.168.1.255

Dies erzeugt eines von 3 Ergebnissen für jede Adresse:

• SAFE - wenn das Ziel als gepatcht oder zumindest als CredSSP/NLA erforderlich eingestuft wurde
• VULNERABLE - wenn das Ziel als anfällig bestätigt wurde
• UNKNOWN - wenn das Ziel nicht antwortet oder ein Protokollfehler auftritt

Wenn auf einer Ziel-IP nichts vorhanden ist, haben ältere Versionen die Meldung "UNKNOWN - Verbindung abgelaufen" ausgegeben. Beim Scannen großer Netzwerke führt dies zu einer Überflutung mit Informationen über Systeme, die Sie nicht interessieren. Daher unterdrückt die neue Version diese Informationen standardmäßig, es sei denn, Sie fügen -v (für verbose) in der Befehlszeile hinzu.

Sie können die Geschwindigkeit beim Scannen großer Netzwerke erhöhen, indem Sie die Anzahl der Arbeiter erhöhen:

rdpscan --workers 10000 10.0.0.0/8

Auf meinem Computer werden jedoch aufgrund von Systemeinschränkungen nur etwa 1500 Arbeiter erzeugt, egal wie hoch ich diesen Parameter einstelle.

Sie können die Geschwindigkeit noch weiter erhöhen, indem Sie dies in Verbindung mit masscan verwenden, wie unten im zweiten Abschnitt beschrieben.

Interpretation der Ergebnisse

Es gibt drei allgemeine Antworten:

• SAFE - bedeutet, dass das Ziel wahrscheinlich gepatcht oder anderweitig nicht anfällig für den Fehler ist.
• VULNERABLE: bedeutet, dass wir bestätigt haben, dass das Ziel anfällig für diesen Fehler ist und bei einem Wurm wahrscheinlich infiziert wird.
• UNKNOWN: bedeutet, dass wir weder das eine noch das andere bestätigen können, normalerweise weil das Ziel nicht antwortet oder kein RDP ausführt, was die überwiegende Mehrheit der Antworten ausmacht. Auch bei Zielen, die keine Ressourcen mehr haben oder Netzwerkprobleme haben, erhalten wir viele davon. Schließlich sind Protokollfehler für viele verantwortlich. Während die drei Hauptantworten SAFE, VULNERABLE und UNKNOWN sind, enthalten sie zusätzlichen Text, der die Diagnose erklärt. Dieser Abschnitt beschreibt die verschiedenen Zeichenfolgen, die Sie sehen werden.

SAFE

Es gibt drei Hauptgründe, warum wir ein Ziel für sicher halten:

• SAFE - Ziel scheint gepatcht Dies tritt auf, wenn das Ziel nicht auf die auslösende Anfrage reagiert. Dies bedeutet, dass es sich um ein Windows-System handelt, das gepatcht wurde, oder um ein System, das von Anfang an nicht anfällig war, wie Windows 10 oder Unix.
• SAFE - CredSSP/NLA erforderlich Dies bedeutet, dass das Ziel zuerst eine Netzwerkebenenauthentifizierung (NLA) erfordert, bevor die RDP-Verbindung hergestellt werden kann. Das Tool kann diesen Punkt ohne gültige Anmeldeinformationen nicht passieren, kann daher nicht feststellen, ob das Ziel gepatcht wurde. Allerdings können Hacker diesen Punkt auch nicht passieren, um anfällige Systeme auszunutzen. Daher sind Sie wahrscheinlich "sicher". Wenn jedoch Exploits auftauchen, können Insider mit gültigen Benutzernamen/Passwörtern das System ausnutzen, wenn es ungepatcht ist.
• SAFE - kein RDP Dies bedeutet, dass das System kein RDP ist, sondern einen anderen Dienst hat, der denselben Port verwendet, und eine Antwort erzeugt, die eindeutig nicht RDP ist. Häufige Beispiele sind HTTP und SSH. Beachten Sie jedoch, dass ein Server anstelle eines identifizierbaren Protokolls mit einem RST- oder FIN-Paket antworten kann. Diese werden als UNKNOWN und nicht als SAFE identifiziert.

VULNERABLE

Dies bedeutet, dass wir bestätigt haben, dass das System anfällig für den Fehler ist.

• VULNERABLE - appid erhalten Es gibt nur eine Antwort, wenn das System anfällig ist, diese eine.

UNKNOWN

Es gibt unzählige Variationen für Unbekannt