CVE-2019-0708-generate-hosts

이 프로그램은 nmap을 사용하여 3389_cidrs 파일에 나열된 CIDR 주소(한 줄에 하나씩)를 스캔하여 3389_hosts 파일을 생성합니다. 이 파일에는 Windows 3389 원격 데스크톱이 활성화된 머신의 IP 주소가 포함되어 있어 이후 감지 IP 수를 크게 줄일 수 있습니다.

의존성

python3, nmap

실행

CIDR을 3389_cidrs에 작성하고 ./generate.py를 실행합니다. 생성된 3389_hosts는 관리자에게 문의하거나 계속 스캔 작업을 수행하는 데 사용할 수 있습니다.

deep_generate.py는 일부 사용자가 자신의 머신 3389 포트를 다른 포트로 변경한 경우를 위해 nmap 지문 스캔으로 ms-wbt-server를 찾아 3389_hosts에 기록합니다. 각 머신에 대해 1-65535 포트를 스캔해야 하므로 속도가 매우 느립니다.

이유

360에서 20190522에 CVE-2019-0708: Windows RDP 원격 취약점 무손실 탐지 도구 다운로드를 공개했으며 현재 두 번째 버전입니다. 단일 IP에 대해서만 감지할 수 있습니다.

https://github.com/biggerwing/CVE-2019-0708-poc는 일괄 감지 도구를 작성했습니다. 텍스트 파일에 여러 IP를 나열하여 감지합니다. 왜 Python을 사용하고 PowerShell이나 BAT를 사용하지 않는지는 저도 모르겠고 감히 묻지도 못하겠습니다.

大连东软-孙福龙이 이를 개선하여 CIDR 주소 범위만 입력하면 되도록 했습니다.

CIDR 주소 범위가 많기 때문에 CIDR 주소 범위를 기반으로 nmap이 3389 포트가 열린 머신 IP를 스캔하여 감지 대상으로 포함하는 작은 코드를 작성했습니다. 이렇게 하면 감지 IP 수를 줄일 수 있습니다.

일괄 확인 시 360 공식 소스에서 감지 도구를 다운로드하고 위의 GitHub 파일 이름을 교체할 것을 권장합니다.

감지 결과는 참고용으로만 제공됩니다.

권장 사항

CVE-2019-0708과 유사한 취약점에 대해 평소에 다음 2가지만 잘 준수하면 매우 안전합니다.

• 로컬 방화벽을 켜고 관리 측의 3389 및 22 포트를 특정 관리자 IP 또는 배스천 호스트만 로그인할 수 있도록 제한합니다. 이렇게 하면 패치를 적용하지 않아도 상대적으로 안전합니다.
• 시스템 자동 업데이트를 켜고 더 이상 EOL이 아닌 서버(宋崟川@LinkedIn 문서 참고, 예: Windows 2k3)를 사용하지 않습니다. 평소에 네트워크가 정상인지, 자동으로 패치가 적용되고 있는지 주의합니다. 물론 보안 패치에는 시간 차이가 있습니다. 예를 들어 이번 CVE-2019-0708의 경우 서버는 다음날 오전 3시에 자동으로 패치가 적용되므로 이때 수동으로 설치할 수 있습니다.
• 3389 포트 변경은 권장하지 않습니다. 표준적이지 않고 안전하지 않습니다.