CVE-2019-0708

未经认证的 CVE-2019-0708 "BlueKeep" 扫描器 PoC，作者 @JaGoTu 和 @zerosum0x0。

Metasploit 模块 PR: https://github.com/rapid7/metasploit-framework/pull/11869

本仓库内容

rdesktop 的一个扫描分支，可检测主机是否受 CVE-2019-0708 Microsoft Windows 远程桌面服务远程代码执行漏洞影响。它不应导致拒绝服务，但对于多年来所有受影响的 RDP 堆栈版本，无法做到 100% 保证。由于未经认证，该扫描器对 NLA 主机的检测结果不可靠（NLA 已被确认是一种缓解措施）。

还有一个 Metasploit 模块，目前为进行中的工作（MSF 没有 RDP 库）。

构建与运行

仓库中有一个预编译的 rdesktop 二进制文件，但以下是常规的 rdesktop 构建流程：

git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.1.7:3389

这个 rdesktop 分支仅在 X11 GUI Linux 环境 下得到良好支持。其他平台的运行结果会有所不同。 请参考常规的 rdesktop 编译说明，或查看 Docker 镜像的构建方式。

你也可以使用 Dockerfile 从源码构建，然后通过该镜像运行 rdesktop：

docker build . -t cve-2019-0708:latest
docker run cve-2019-0708:latest 192.168.1.7:3389

是否存在危险？

该漏洞的少量细节已开始在公众中流传。此工具并不能让攻击者轻松获得理论上的远程代码执行能力。

修改此 PoC 以触发拒绝服务虽然降低了门槛，但仍需付出一定努力。目前我们不会解释该扫描器的工作原理，只会告知用户它在测试中表现准确，并遵循逻辑路径。

系统管理员需要这样的工具来发现受影响的宿主机。此工具仅供合法用途提供，并旨在促进安全社区对该漏洞的理解。由于此 PoC 会主动利用漏洞，请勿在未获授权的情况下针对目标使用。

许可证

rdesktop 分支采用 GPLv3 许可。 Metasploit 模块采用 Apache 2.0 许可。 参考: https://github.com/zerosum0x0/CVE-2019-0708