如何逆转远程桌面连接？

Question

我最近发现了一个 YouTuber，他的爱好是诱骗骗子，与他们一起玩一段时间，利用这个机会获取他们的信息，然后暴露他们或完全破坏他们的操作。YouTube 频道（吉姆·布朗宁）：https : //www.youtube.com/channel/UCBNG0osIBAprVcZZ3ic84vw

该 YouTuber 策略的一个重要部分是反转远程桌面连接，以便他可以看到诈骗者计算机上的所有内容，甚至可以通过远程输入控制它，例如：https : //www.youtube.com/watch?v =FO9mWvJAugQ。请注意，在任何情况下（至少如视频所示），YouTuber 都不会要求骗子允许“换边”或类似的事情。

我并没有试图做他正在做的事情，我只是很好奇他是怎么做到的。

Answer 1

此漏洞在 Microsoft 文章行业协作中的案例研究：中毒 RDP 漏洞披露和响应中有所描述 。这项研究是与 Check Point 研究员 Eyal Itkin 合作完成的。

本文描述了受感染服务器对通过 RDP 连接的客户端的攻击。该攻击由服务器利用共享剪贴板的功能将一组文件复制到另一台计算机并粘贴到另一台计算机上。

这也称为“路径遍历攻击”，恶意 RDP 服务器可以在客户端计算机上的任意路径中放置任意文件，从而获得对该计算机的完全控制。

服务器还可以通知客户端有关虚假剪贴板更新的信息，而无需在 RDP 窗口内进行实际复制操作，从而完全控制客户端的剪贴板而不会引起用户注意。

Eyal Itkin 对各种 RDP 软件中的 RDP 漏洞的研究可在文章 反向 RDP 攻击：RDP 客户端上的代码执行中找到，他发现的漏洞数量简直令人震惊。

为了防止这些攻击，唯一的解决方案是始终使用最新且完全更新的 RDP 客户端。否则，在连接时至少禁用共享剪贴板功能。

Answer 2

这些类型的骗子寻找不精通技术的人。Teamviewer 之类的软件会检测“可能”的诈骗活动，并在您连接到例如来自印度的 IP 地理围栏而您不在其中时警告人们注意诈骗：

...
我们已采取必要措施确保远程 ID 不再被用于非法目的，并且我们一直致力于寻找和阻止此类用户的新方法。如果检测到具有潜在欺诈背景的传入连接，TeamViewer 将显示一条警告消息，以警告我们的用户存在潜在欺诈风险
...... ( https://community.teamviewer.com/t5/Previous-versions-EN/骗子/td-p/682 )

为了避免这些类型的检测和警告，骗子有时会让客户端双向启动连接，然后接管——如果你速度快，你可以用一些允许你在发生这种情况之前访问的东西来窃听骗子的 PC。

有时，骗子会在桌面上的“FinanceData”文件夹中留下例如“creditinfo.xls”，希望骗子下载并打开它。它包含一个宏病毒，它会窃听诈骗者的电脑并允许远程访问（不是通过同一个工具，而是提供他们自己的后门）。

这两件事可能都是非法的。

还有其他方法——例如，Jim Browning 有时表明他利用 WireShark 来追踪网络连接和流量回给攻击者。如果/他究竟用什么来窃听他侵入的网络，可能没有任何原因可以证明 - 我认为他仍然很酷。他使用的工具没有使用teamviewer，而是使用其他方式对诈骗者的网络进行后门处理。