CVE-2019-0708-generate-hosts

Dieses Programm verwendet nmap, um die in der Datei 3389_cidrs aufgeführten CIDR-Adressen zu scannen (eine pro Zeile), und erzeugt die Datei 3389_hosts, die die IP-Adressen möglicher Windows-Maschinen mit aktiviertem 3389-Remotedesktop enthält. Dadurch lässt sich die Anzahl der anschließend zu prüfenden IPs erheblich reduzieren.

Abhängigkeiten

python3, nmap

Ausführung

Die CIDRs in 3389_cidrs eintragen und ./generate.py ausführen. Die erzeugte Datei 3389_hosts kann verwendet werden, um den Administrator zu kontaktieren oder mit dem Scannen fortzufahren.

deep_generate.py richtet sich an Personen, die den 3389-Port ihrer Maschinen auf einen anderen Port geändert haben. Es verwendet nmap-Fingerprinting, um ms-wbt-server zu erkennen und dann in 3389_hosts zu schreiben. Da für jede Maschine die Ports 1 bis 65535 gescannt werden müssen, ist dies sehr langsam.

Hintergrund

Am 22.05.2019 veröffentlichte 360 den CVE-2019-0708: Download des verlustfreien Erkennungstools für die Windows-RDP-Sicherheitslücke; inzwischen ist die zweite Version verfügbar. Es kann nur eine einzelne IP prüfen.

https://github.com/biggerwing/CVE-2019-0708-poc enthält ein Batch-Erkennungstool, bei dem eine Reihe von IPs in eine Textdatei geschrieben wird, um sie zu prüfen. Warum Python statt PowerShell oder BAT verwendet wird? Keine Ahnung, und wir trauen uns auch nicht zu fragen.

Dalian Neusoft – Sun Fulong hat es verbessert, sodass nur CIDR-Adressbereiche angegeben werden müssen.

Da es zahlreiche CIDR-Adressbereiche gibt, habe ich ein kleines Skript geschrieben, das mit nmap anhand der CIDR-Adressbereiche die IPs von Maschinen mit offenem 3389-Port für die Prüfung auflistet. Dadurch kann die Anzahl der zu prüfenden IPs reduziert werden.

Es wird empfohlen, das Erkennungstool für den Batch-Check von der offiziellen 360-Quelle herunterzuladen und die oben genannten GitHub-Dateinamen zu ersetzen.

Die Erkennungsergebnisse dienen nur als Referenz.

Empfehlungen

Bei Sicherheitslücken wie CVE-2019-0708 ist man im Alltag bereits gut abgesichert, wenn man nur die folgenden zwei Dinge beachtet.

• Aktiviere die Firewall auf dem lokalen Rechner und erlaube auf der Verwaltungsseite nur bestimmten Admin-IPs oder Bastion-Hosts die Anmeldung über 3389 und 22. Wenn man das tut, ist man selbst ohne Patches relativ sicher.
• Aktiviere automatische Systemupdates und verwende keine Server, die bereits das Ende ihres Lebenszyklus (EOL) erreicht haben (siehe Dokument von Song Yinchuan @LinkedIn), z. B. Windows2k3. Achte im Alltag darauf, ob das Netzwerk normal funktioniert und ob automatisch Patches installiert werden. Natürlich gibt es bei Sicherheitspatches eine zeitliche Verzögerung – der Patch für CVE-2019-0708 wurde auf dem Server beispielsweise am nächsten Morgen um 3 Uhr automatisch installiert; in diesem Fall kann man manuell eingreifen und ihn installieren.
• Das Ändern des 3389-Ports wird nicht empfohlen – es ist weder Standard noch sicher.