rdpscan для уязвимости CVE-2019-0708 Bluekeep

Это быстрый и грязный сканер для уязвимости CVE-2019-0708 в Microsoft Remote Desktop. Прямо сейчас около 900 000 машин в общедоступном Интернете уязвимы для этой уязвимости, поэтому вскоре можно ожидать червя, похожего на WannaCry и notPetya. Поэтому сканируйте свои сети и исправляйте (или, по крайней мере, включайте NLA) на уязвимых системах.

Это инструмент командной строки. Вы можете скачать исходный код и скомпилировать его самостоятельно, или скачать один из предварительно скомпилированных бинарников для Windows или macOS по ссылке выше.

Этот инструмент полностью основан на патче rdesktop из https://github.com/zerosum0x0/CVE-2019-0708. Я просто обрезал код, чтобы его можно было легко скомпилировать на macOS и Windows, а также добавил возможность сканирования нескольких целей.

Статус

Этот инструмент появился всего несколько дней назад и является экспериментальным. Однако я тестирую его, сканируя весь Интернет (с помощью masscan), так что я довольно быстро решаю множество проблем. Вы можете связаться со мной в Twitter (@erratarob) для помощи/комментариев.

2019-05-38 - Улучшены описания результатов вывода, а также документация о том, что они означают (см. ниже).
2019-05-27 - Выпущены бинарники для Windows и macOS (нажмите на значки выше).
2019-05-26 - Исправление проблем с сетью в Windows
2019-05-25 - Linux и macOS работают хорошо, в Windows есть несколько сетевых ошибок
2019-05-24 - Работает на Linux и macOS, в Windows есть несколько ошибок компиляции
2019-05-23 - В настоящее время работает на macOS в XCode

Основное использование

Для сканирования сети запустите его следующим образом:

rdpscan 192.168.1.1-192.168.1.255

Это выдает один из 3 результатов для каждого адреса:

SAFE - если цель определена как исправленная или по крайней мере требующая CredSSP/NLA
VULNERABLE - если цель подтверждена как уязвимая
UNKNOWN - если цель не отвечает или произошла какая-то ошибка протокола

Когда по целевому IP-адресу ничего нет, старые версии печатали сообщение "UNKNOWN - connection timed out". При сканировании больших сетей это создает перегрузку информации о системах, которые вас не интересуют. Поэтому новая версия по умолчанию не выводит эту информацию, если вы не добавите -v (подробный) в командной строке.

Вы можете увеличить скорость сканирования больших сетей, увеличив количество рабочих процессов:

rdpscan --workers 10000 10.0.0.0/8

Однако на моем компьютере он выдает только около 1500 рабочих процессов из-за системных ограничений, независимо от того, насколько высоко я устанавливаю этот параметр.

Вы можете еще больше увеличить скорость, используя это в сочетании с masscan, как описано во втором разделе ниже.

Интерпретация результатов

Есть три общих ответа:

SAFE - означает, что цель, вероятно, исправлена или иным образом не уязвима для ошибки.
VULNERABLE: означает, что мы подтвердили, что цель уязвима для этой ошибки, и когда появится червь, она, скорее всего, будет заражена.
UNKNOWN: означает, что мы не можем подтвердить ни то, ни другое, обычно потому, что цель не отвечает или не запущен RDP, что составляет подавляющее большинство ответов. Кроме того, когда цели исчерпали ресурсы или испытывают проблемы с сетью, мы получим много таких ответов. Наконец, ошибки протокола также являются причиной многих ответов. Хотя три основных ответа - SAFE, VULNERABLE и UNKNOWN, они содержат дополнительный текст, объясняющий диагноз. В этом разделе описываются различные строки, которые вы увидите.

SAFE

Есть три основные причины, по которым мы считаем цель безопасной:

SAFE - Target appears patched (Цель выглядит исправленной) Это происходит, когда цель не отвечает на запускающий запрос. Это означает, что это система Windows, которая была исправлена, или система, которая изначально не была уязвимой, например Windows 10 или Unix.
SAFE - CredSSP/NLA required (Требуется CredSSP/NLA) Это означает, что цель сначала требует аутентификации уровня сети (NLA) перед установкой RDP-соединения. Инструмент не может пройти этот этап без легитимных учетных данных, поэтому не может определить, была ли цель исправлена. Однако хакеры также не могут пройти этот этап для эксплуатации уязвимых систем, так что вы, вероятно, в безопасности. Однако, когда появятся эксплойты, инсайдеры с действительными именами пользователей/паролями смогут эксплуатировать систему, если она не исправлена.
SAFE - not RDP (Не RDP) Это означает, что система не является RDP, но имеет другую службу, которая использует тот же порт и выдает ответ, явно не являющийся RDP. Распространенные примеры: HTTP и SSH. Обратите внимание, что вместо идентифицируемого протокола сервер может ответить пакетом RST или FIN. Они идентифицируются как UNKNOWN, а не SAFE.

VULNERABLE

Это означает, что мы подтвердили, что система уязвима для ошибки.

VULNERABLE - got appid (Получен appid) Есть только один ответ, когда система уязвима, - этот.

UNKNOWN

Существует бесчисленное множество вариаций для UNKNOWN

UNKNOWN - no connection - timeout (Нет соединения - тайм-аут) Это наиболее распространенный ответ; происходит, когда целевой IP-адрес вообще не отвечает. На самом деле, это настолько часто, что при сканировании больших диапазонов адресов это обычно опускается. Вам нужно добавить флаг -v (подробный), чтобы включить его.
UNKNOWN - no connection - refused (RST) (Нет соединения - отказ (RST)) Это второй по распространенности ответ; происходит, когда цель существует и отвечает на сетевой трафик, но не запущен RDP и отклоняет соединение TCP-пакетом RST.
UNKNOWN - RDP protocol error - receive timeout (Ошибка протокола RDP - тайм-аут приема) Это третий по распространенности ответ; происходит, когда мы успешно установили RDP-соединение, но затем сервер перестает отвечать. Это связано с сетевыми ошибками и перегрузкой целевой системы по какой-то причине. Это также могут быть сетевые ошибки на вашей стороне, например, когда вы находитесь за NAT и перегружаете его слишком большим количеством соединений.
UNKNOWN - no connection - connection closed (Нет соединения - соединение закрыто) Это означает, что мы установили соединение (TCP SYN-ACK), но затем оно сразу же закрывается (с помощью RST или FIN). Есть много причин, по которым это может произойти, которые мы не можем различить:
- Запущен RDP, но по какой-то причине соединение закрывается, возможно, из-за нехватки ресурсов.
- Это не RDP, и запрос RDP, который мы отправляем, ему не нравится, поэтому вместо того, чтобы отправить нам информативное сообщение об ошибке (которое вызвало бы SAFE - not RDP), он резко закрывает соединение.
- Некоторое промежуточное устройство, например IPS, брандмауэр или NAT, закрыло соединение, потому что идентифицировало его как враждебное или исчерпало ресурсы.
- Какая-то другая причина, которую я не определил; при сканировании Интернета происходит много странного.

rdpscan

Популярное