CVE-2019-0708漏洞复现

凌晨两点，洞复实验室的洞复灯还亮着。我盯着屏幕上那个蓝屏的洞复Windows Server 2008虚拟机，嘴角忍不住上扬——蓝屏了，洞复说明漏洞触发成功了。洞复这个被微软称为“WannaCry级别”的洞复CVE-2019-0708，也就是洞复BlueKeep，终于在我手上跑通了。洞复

漏洞出在RDP（远程桌面协议）的洞复通道处理上。具体来说，洞复是洞复`termdd.sys`驱动里对内部数据包的处理存在UAF（释放后使用）。攻击者不需要任何凭证，洞复只要目标机开放了3389端口，洞复就能在内存里构造恶意数据，洞复最终实现远程代码执行。洞复最可怕的是，这个漏洞无需用户交互——不像钓鱼邮件还得等人点一下。

复现环境我搭了三台机器：攻击机用Kali，目标机是没打补丁的Windows Server 2008 R2，中间加了个虚拟交换机模拟真实内网。第一次尝试用的是Metasploit里的公开模块，但报错一堆。检查后发现是目标机开启了NLA（网络级认证），这玩意儿会拦截未认证的RDP握手。解决办法很简单——在MSF里设置`DisableNLA: true`，强制走老版本协议。

真正麻烦的是触发UAF的时机。漏洞利用分两个阶段：先发送畸形数据包让`termdd.sys`释放某个对象，再通过另一条RDP通道重新占位这块内存。如果两次操作间隔太短，系统会直接崩溃而不是执行shellcode。我试了十几次，最终把延迟调到了200毫秒——这个数值是我拿二分法一点点试出来的，比写漏洞本身还磨人。

当那个`meterpreter`会话弹出来的时候，我反而没什么兴奋感。因为紧接着我就做了个测试——用同样的攻击方式打一台开了自动更新的Windows 10，结果系统稳如泰山。微软在2019年5月就发布了补丁，但直到今天，Shodan上还能扫到几十万台暴露在公网的Windows 7和Server 2008机器。它们就像没锁门的保险库，而门锁的型号全世界都知道了。

复现这个漏洞给我最大的感触是：安全领域的攻防对抗，本质上是时间赛跑。微软从发现漏洞到发布补丁花了不到两周，但用户从补丁发布到真正部署，往往要拖上几个月甚至几年。那些还在跑老系统的工控设备、医院挂号机、银行ATM，哪一个不是潜在的攻击跳板？

最后说点实在的。如果你手里还管着Windows 7或Server 2008，别犹豫，立刻禁用RDP的广域网暴露，或者干脆升级系统。BlueKeep的利用代码已经公开，连脚本小子都能照着打。我不指望这篇文章能改变什么，但至少看过的你，今晚可以顺手把3389端口从防火墙里关掉。