CVE-2019-0708-generate-hosts

Ce programme utilise nmap pour scanner les adresses CIDR listées dans le fichier 3389_cidrs (une par ligne) et génère le fichier 3389_hosts contenant les adresses IP des machines Windows susceptibles d'avoir le bureau à distance 3389 ouvert, ce qui peut considérablement réduire le nombre d'IP à détecter par la suite.

Dépendances

python3, nmap

Exécution

Écrivez les CIDR dans 3389_cidrs, exécutez ./generate.py. Le fichier 3389_hosts généré peut être utilisé pour contacter l'administrateur ou poursuivre les opérations de scan.

deep_generate.py est destiné aux personnes qui ont modifié le port 3389 de leur machine vers un autre port. Il utilise nmap pour scanner les empreintes digitales et détecter ms-wbt-server, puis écrit dans 3389_hosts. Comme chaque machine doit scanner les ports 1-65535, c'est très lent.

Raison

Le 22 mai 2019, 360 a publié CVE-2019-0708 : Outil de détection non destructif de la vulnérabilité RDP Windows, actuellement en version 2. Il ne permet de détecter qu'une seule IP à la fois.

https://github.com/biggerwing/CVE-2019-0708-poc a écrit un outil de détection batch qui détecte une liste d'IP dans un fichier texte. Pourquoi utiliser Python plutôt que PowerShell ou BAT, je ne sais pas et je n'ose pas demander.

Sun Fulong de Dalian Neusoft l'a amélioré en permettant d'écrire uniquement des plages d'adresses CIDR.

Étant donné qu'il y a beaucoup de plages CIDR, j'ai écrit un petit code qui, à partir des plages CIDR, utilise nmap pour scanner les machines avec le port 3389 ouvert et les liste pour la détection. Cela permet de réduire le nombre d'IP à détecter.

Il est recommandé, lors de l'utilisation d'une vérification par lots, de télécharger l'outil de détection depuis la source officielle de 360 et de remplacer les noms de fichiers GitHub ci-dessus.

Les résultats de la détection sont fournis à titre indicatif uniquement.

Recommandations

Concernant les vulnérabilités similaires à CVE-2019-0708, il suffit généralement de faire les deux choses suivantes pour être en sécurité.

• Activez le pare-feu local, et pour les ports de gestion 3389 et 22, autorisez uniquement certaines IP d'administrateur ou un bastion à se connecter. Si vous faites cela, même sans appliquer les correctifs, c'est relativement sûr.
• Activez les mises à jour automatiques du système, n'utilisez pas de serveurs ayant atteint leur fin de vie (EOL) (vous pouvez vous référer au document de 宋崟川 sur LinkedIn), comme Windows 2003. Surveillez régulièrement l'état du réseau et si les correctifs sont appliqués automatiquement. Bien sûr, il y a un décalage dans l'application des correctifs de sécurité : par exemple, pour CVE-2019-0708, le serveur les applique automatiquement à 3 heures du matin le lendemain, et à ce moment-là, vous pouvez intervenir manuellement pour les installer.
• Changer le port 3389 n'est pas recommandé, ce n'est ni standard ni sûr.