CVE-2019-0708复现 靶机蓝屏 无法反弹shell

转自：
https://www.haochen1204.com/index.php/archives/90/

CVE-2019-0708漏洞复现（shell与蓝屏）
漏洞范围
Windows 7 sp1 or 2008 R2

需要注意的是，这个漏洞如果设置不正确，很容易搞蓝屏，我在进行复现的过程中，查找了许多大佬们的博客，根据他们的利用方法，都成功的将WIN7搞蓝屏，但是却没有反弹shell，下面我也会着重说一下我在复现过程中遇到的关于无法反弹shell，反而蓝屏的问题。

首先这个漏洞蓝屏是正常的，从名字就可以看出，永恒之蓝。。。。

但是我想的是利用这个漏洞反弹shell，而不是蓝屏，所以就需要配置以下几点

首先是配置payload，我们输入show payloads，可以发现有许多payload，这其中默认使用的是

windows/x64/shell/reverse_tcp

而这个payload在虚拟机中进行复现时就会造成蓝屏

所以我们需要将其手动设置为

windows/x64/meterpreter/reverrse_tcp

还有一个就是系统类型的设置

我们可以看到有关于各种虚拟机、物理机的类型设置，我使用的是vm16进行复现，但是不知道为什么只有选择2 vbox这个类型才可以反弹shell，别的都会造成蓝屏，知道的大佬可以评论区留言教教弟弟。

还看见有大佬说如果虚拟机内存不足也会造成不能反弹shell，而蓝屏，我也尝试了下，发现好像和内存没有关系，只要设置出现问题无论内存多大都会造成蓝屏。

漏洞修复
及时打对应系统的安全补丁
关闭3389端口或添加防火墙安全策略限制对3389端口的访问
打不了补丁的可以开启远程桌面（网络级别身份验证(NLA)），可以临时防止漏洞攻击
漏洞原理
因为对系统内核并不是很了解，只能简单的描述一下我理解的漏洞原理

当未经身份验证的攻击这使用RDP连接到目标系统并发送特殊设计的请求时，远程桌面会不验证身份（在腾讯云发布的漏洞分析中说明的是预身份验证，无需用户交互），而让攻击者在目标系统上执行任意代码，可以安装程序，查看更改或删除数据。

https://www.cnblogs.com/0daybug/p/12237447.html这位大佬还做了一些对于防火墙与安全软件开启下漏洞利用的测试，这里简单总结下就是开启了防火墙的情况下可以利用成功，开启防火墙在漏洞利用成功后打开火绒，火绒检测不出恶意进程的入驻。但是在开启火绒的情况下去进行漏洞利用，则会被火绒检测出恶意程序入驻内核，会话会被强行终止。

我们可以知道，该exp的攻击流程是从底层的内核入侵逐渐上升至进行与内存，如果我们先将其打蓝屏，在其自动重启的过程中进行攻击，在安全软件开启前就入驻内存，这样会不会就检测不到了呢，对此我也进行了测试，但是在系统开机时总是没有办法攻击成功，所以具体能否成功也不得而知，或者我的这个想法就是错误的，还请大佬们多多指正。