bluekeep

CVE-2019-0708 又名 Bluekeep

扫描器

一个简单的扫描器，用于判断系统是否受 CVE-2019-0708 影响。

这是由 JaGoTu 和 zerosum0x0 编写的原始 Metasploit 模块扫描器的 Python 移植版本，可在 Github 此处获取。

概念验证

通过利用 Bluekeep 漏洞实现 RCE 的概念验证。

相关

• 0xeb-bp Github: bluekeep。由 zerosum0x0 指出，包含在 XP 上对 MS_T120 进行堆喷的代码。

资源

大众媒体报道

• 首次 Bluekeep 大规模黑客攻击已出现——但无需恐慌

研究

• 幻灯片。首个公开的 "RCE 指南"。
• 三种通过 RDP PDU 向内核写入数据的方法。潜在的内核池堆喷方法。
• CVE-2019-0708 分析 来自 MalwareTechBlog。详细介绍了 MS 补丁的初始逆向工程，直至发现通过手动绑定通道 MS_T120 实现 DoS 的过程。
• BlueKeep: 从 DoS 到 RCE 的旅程 来自 MalwareTechBlog。正如其名。
• CVE-2019-0708 来自 Zero Day Initiative。深入分析 Bluekeep 的 use-after-free 条件。其他资源的有益补充。
• Bluekeep 漏洞利用已在野外出现

文章撰写

• 如何使用 Metasploit 利用 Bluekeep 漏洞。另一篇早期文章，展示了成功利用所需的平台相关调整。
• 通过 CVE-2019-0708 进行调试入门。通过内核调试器讲解 UAF 条件的指南。
• 使用 Bluekeep Metasploit 模块。一篇早期博客文章，讨论在特定平台上使漏洞利用生效所需的调整。

关于 RDPSND 问题

• 终端服务的注册表项。涉及非默认注册表项，该键必须设置才能像开源漏洞利用那样通过 RDPSND 虚拟通道进行堆喷。
• Windows 安全百科：允许音频和视频播放。快速概述注册表如何控制音频和视频重定向，与 RDPSND 虚拟通道相关。