CVE-2019-0708 Batch-Erkennung

0x01 Einleitung

CVE-2019-0708 Windows RDP Remote-Codeausführung-Schwachstelle

Am 15. Mai 2019 wurde eine kritische Sicherheitslücke in Windows Servern gemeldet, die viele Systeme betrifft: Windows 2003, Windows 2008, Windows 2008 R2, Windows XP * werden angegriffen. Der Angriff erfolgt über den Remote Desktop Port 3389 mittels des RDP-Protokolls. Die Sicherheitslücke CVE-2019-0708 umgeht die Authentifizierung des Benutzers, sodass ohne Interaktion eine Verbindung über RDP hergestellt und bösartiger Code zur Ausführung auf dem Server gesendet werden kann. Diese Schwachstelle ist die schwerwiegendste in diesem Jahr, da sie sich wie ein Wurm verbreiten kann. Jede Malware, die diese Schwachstelle ausnutzt, kann sich von einem betroffenen Computer auf andere übertragen, ähnlich wie der WannaCry-Wurm im Jahr 2017 und frühere Ransomware wie EternalBlue.

0x02 Batch-Erkennung

Da viele Server Windows verwenden, ist eine Massenüberprüfung erforderlich. Obwohl die Firewall an der Grenze TCP-Port 3389 blockieren kann, um Server vor externen Angriffen zu schützen, muss für interne laterale Angriffe dennoch durch Patches oder andere Maßnahmen die Sicherheit gewährleistet werden.

1> 360 RDP-Schwachstellen-Scanner (nicht-invasiv)

0708detector.exe ist ein von 360Vulcan Team (360 Company) veröffentlichtes Erkennungstool für die Windows RDP-Schwachstelle CVE-2019-0708. Grundsätzlich verursacht dieses Tool keinen Blue Screen des Zielsystems. Bitte testen Sie es vor der Verwendung.

Programm-Prüfsumme MD5, um Hintertüren zu vermeiden febc027cee2782dba25b628ce3a893d6 *0708detector.exe

Anleitung zur Verwendung und Ergebnisinterpretation finden Sie in der readme.txt.

2> Batch-Skript basierend auf dem 360 nicht-invasiven Scanner

Umgebung

python3.6
win10

Verwendung

> python cve-2019-0708_v1.py -h
usage: cve-2019-0708_v1.py [-h] [-p PORT] [-t TARGET | -f FILE]

Example: python cve-2019-0708_v1.py -t 192.168.1.0/24 -p 3389

optional arguments:
  -h, --help            show this help message and exit
  -p PORT, --port PORT  默认端口3389
  -t TARGET, --target TARGET
                        可以输入单个IP地址，或者输入CIDR形式，如：192.168.1.0/24，注意CIDR格式，第一位必须是
                        所在IP段的网络号
  -f FILE, --file FILE  输入IP地址文件

Im Grunde wird zuerst per Telnet geprüft, ob Port 3389 geöffnet ist, und dann wird der 360 nicht-invasive Scanner mittels Multithreading aufgerufen.

Fehlerbehandlung

错误’ValueError: IP(‘1.1.1.1/24’) has invalid prefix length (24)’的解决办法

Dies liegt am CIDR-Format der IP-Adresse. Gemäß der IPy-Bibliothek muss die erste Ziffer die Netzwerknummer des IP-Bereichs sein. Die korrekte Schreibweise ist wie folgt:

1.1.1.0/24 : 1.1.1.0~1.1.1.255

1.1.1.128/25 : 1.1.1.128~1.1.1.255

1.1.1.64/26 : 1.1.1.64~1.1.1.127

1.1.1.32/27 : 1.1.1.32~1.1.1.63

1.1.1.16/28 : 1.1.1.16~1.1.1.31

3> Modul msf auxiliary/scanner/rdp/cve_2019_0708_bluekeep

0x03 Empfehlungen zur Behebung

1. Laden Sie den entsprechenden Sicherheitspatch von Microsoft herunter und führen Sie das Update durch.
2. Falls nicht benötigt, deaktivieren Sie den Remotedesktopdienst.
3. Aktivieren Sie die Netzwerkauthentifizierung (NLA) auf unterstützten Systemen mit Windows 7, Windows Server 2008 und Windows Server 2008 R2. Da die von NLA geforderte Authentifizierung vor dem Auslösepunkt der Schwachstelle erfolgt, können betroffene Systeme NLA nutzen, um sich vor Wurm-Malware oder fortschrittlichen Bedrohungen zu schützen. Falls ein Angreifer jedoch über gültige Anmeldeinformationen verfügt, bleibt das System anfällig für Remote-Codeausführung (RCE).
4. Blockieren Sie den TCP-Port 3389 an der Unternehmensfirewall.
5. Vermeiden Sie es, den Remotedesktopdienst (RDP, Standardport 3389) im öffentlichen Internet freizugeben (falls aus Gründen der Fernwartung notwendig, sollte der Zugriff nur über VPN möglich sein).