oneoy/bluekeepCVE-2019-0708 bluekeep détection de vulnérabilité
Ceci est un scanner rapide et sommaire pour la vulnérabilité CVE-2019-0708 dans Microsoft Remote Desktop. Actuellement, environ 700 000 machines sur Internet sont vulnérables à cette vulnérabilité, contre environ 2 000 000 de machines qui exposent Remote Desktop, mais qui sont corrigées/sûres contre l'exploitation. Beaucoup s'attendent à ce que dans les prochains mois, un ver Internet dévastateur apparaisse, similaire à WannaCry et NotPetya. Par conséquent, scannez vos réseaux et corrigez vos systèmes. Cet outil facilite le scan de vos réseaux pour trouver les machines vulnérables.
Pour utiliser cet outil, vous pouvez télécharger un « binaire » à exécuter en ligne de commande, ou télécharger les sources et les compiler. Pour Windows, un binaire précompilé est disponible.
Cet outil est entièrement basé sur le correctif rdesktop provenant de https://github.com/zerosum0x0/CVE-2019-0708.
J'ai simplement réduit le code afin de pouvoir le compiler facilement sur macOS et Windows,
et j'ai ajouté la possibilité de scanner plusieurs cibles.
Ce projet n'a que quelques jours et est expérimental. Cependant, je le teste en scannant
tout Internet (avec l'aide de masscan), donc je résous pas mal de problèmes
assez rapidement. Vous pouvez essayer de me contacter sur Twitter (@erratarob) pour de l'aide ou des commentaires.
Pour scanner un réseau, lancez-le comme suit :
rdpscan 192.168.1.1-192.168.1.1.255
Cela imprimera un résultat d'une ligne par adresse, indiquant VULNERABLE si elle est vulnérable au bug, SAFE si elle est (probablement) sûre, ou UNKNOWN si le programme n'a pas pu déterminer le statut, par exemple s'il n'a obtenu aucune réponse de la cible. Comme la plupart des cibles ne répondent pas, statistiquement, la plupart seront UNKNOWN.
C'est assez lent. Vous pouvez augmenter la vitesse en ajoutant le paramètre de ligne de commande
--workers 1000. Mais vous pouvez augmenter encore plus la vitesse en le faisant précéder
de masscan pour trouver rapidement les machines avec le port 3389 ouvert, puis en
utilisant rdpscan uniquement pour scanner ces machines afin de détecter la vulnérabilité.
masscan 10.0.0.0/8 -p3389 --rate 1000000 >ips.txt
rdpscan --file ips.txt > results.txt
Ou, en une seule étape, en redirigeant la sortie de l'un vers l'autre :
masscan 10.0.0.0/8 -p3389 --rate 1000000 | rdpscan --file -
Vous pouvez obtenir des détails de diagnostic plus verbeux en utilisant le paramètre -d, qui sont
imprimés sur sterr. C'est ainsi que je lance habituellement le programme :
rdpscan --file ips.txt 2> diag.txt 1> results.txt
La partie difficile est d'installer les bibliothèques OpenSSL, sans qu'elles n'entrent en conflit avec d'autres versions présentes sur le système. Sous Debian Linux, je fais :
$ sudo apt install libssl-dev
Une fois ce problème résolu, il vous suffit de compiler tous les fichiers .c ensemble
comme ceci :
$ gcc *.c -lssl -lcrypto -o rdpscan
J'ai mis un Makefile dans le répertoire pour cela, donc vous pouvez probablement faire simplement :
$ make
Le code est écrit en C, donc un compilateur C doit être installé, par exemple en faisant :
$ sudo apt install build-essential
Cette section décrit les erreurs de compilation les plus évidentes.
ssl.h:24:25: fatal error: openssl/rc4.h: No such file or directory
Cela signifie soit que vous n'avez pas les en-têtes OpenSSL installés, soit qu'ils ne se trouvent pas dans un chemin quelconque. Rappelez-vous que même si vous avez les binaires OpenSSL installés, cela ne signifie pas que vous disposez des éléments de développement. Vous devez avoir à la fois les en-têtes et les bibliothèques installés.
Pour installer ces éléments sous Debian, faites :
$ sudo apt install libssl-dev
Pour corriger le problème de chemin, ajoutez une option de compilation -I/usr/local/include, ou quelque chose
de similaire.
Voici un exemple de problème d'édition de liens :
Undefined symbols for architecture x86_64:
"_OPENSSL_init_ssl", referenced from:
_tcp_tls_connect in tcp-fac73c.o
"_RSA_get0_key", referenced from:
_rdssl_rkey_get_exp_mod in ssl-d5fdf5.o
"_SSL_CTX_set_options", referenced from:
_tcp_tls_connect in tcp-fac73c.o
"_X509_get_X509_PUBKEY", referenced from:
_rdssl_cert_to_rkey in ssl-d5fdf5.o
Je rencontre ceci sur macOS car il existe plusieurs versions d'OpenSSL. Je corrige cela en codant en dur les chemins :
$ gcc *.c -lssl -lcrypto -I/usr/local/include -L/usr/local/lib -o rdpscan
D'après les commentaires d'autres utilisateurs, la commande suivante pourrait fonctionner sur macOS si vous avez utilisé Homebrew pour installer les choses. J'obtiens néanmoins toujours les erreurs de liaison ci-dessus, car j'ai installé d'autres composants OpenSSL qui entrent en conflit.
gcc $(brew --prefix)/opt/openssl/lib/libssl.a $(brew --prefix)/opt/openssl/lib/libcrypto.a -o rdpscan *.c
La section ci-dessus donne des conseils de démarrage rapide pour exécuter le programme. Cette section donne une aide plus détaillée.
Pour scanner une seule cible, il suffit de passer l'adresse de la cible :
./rdpscan 192.168.10.101
Vous pouvez passer des adresses IPv6 et des noms DNS. Vous pouvez passer plusieurs cibles. Un exemple serait :
./rdpscan 192.168.10.101 exchange.example.com 2001:0db8:85a3::1
Vous pouvez également scanner des plages d'adresses, en utilisant soit des adresses IPv4 début-fin, soit une spécification CIDR IPv4. Les plages IPv6 ne sont pas prises en charge car elles sont trop grandes.
./rdpscan 10.0.0.1-10.0.0.25 192.168.0.0/16
Par défaut, il ne scanne que 100 cibles à la fois. Vous pouvez augmenter ce nombre
avec le paramètre --workers. Cependant, quelle que soit la valeur de ce paramètre,
en pratique vous obtiendrez au maximum environ 500 à 1500 workers en cours d'exécution
en même temps, selon votre système.
./rdpscan --workers 1000 10.0.0.0/24
Au lieu de spécifier les cibles en ligne de commande, vous pouvez les charger
depuis un fichier, en utilisant le paramètre bien nommé --file :
./rdpscan --file ips.txt
Le format du fichier est une adresse, un nom ou une plage par ligne. Il peut également
consommer le texte généré par masscan. Les espaces superflus sont supprimés,
les lignes vides sont ignorées, et les lignes de commentaire sont ignorées. Un commentaire est
une ligne commençant par le caractère # ou par les caractères //.