CVE-2020-0796-CNA

تم التعديل بناءً على POC المقدم من danigargu، لتحقيق استغلال رفع الامتيازات لنظام Windows 10، وطوّرت AggressorScripts بالاعتماد على مشروع الـ Reflective DLL من stephenfewer والواجهات المقدمة في توثيق CobaltStrike.

هذا المستودع مخصص فقط لتبادل تنفيذ واختبار حقن الـ Reflective DLL، لذلك لا يتم توفير إصدارات Release، يُرجى الترجمة بنفسك

لم يتم إجراء اختبارات استقرار محددة بعد، مرحباً بالتبادل.

الإصدارات المتأثرة (رفع امتيازات محلي + تعليق النظام عن بعد)

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows Server, Version 1903 (Server Core installation)
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows Server, Version 1909 (Server Core installation)

إجراءات التصحيح

1. تحديث النظام

الخطوات: الإعدادات -> التحديث والأمان -> Windows Update، انقر على 'التحقق من وجود تحديثات'.

2. تعطيل ميزة الضغط لـ SMB

شغّل regedit.exe، افتح محرر التسجيل، وأنشئ قيمة DWORD باسم DisableCompression في المسار HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters، واجعل قيمتها 1.

3. استخدام الجدار الناري لحظر منفذ 445 الخاص باتصالات SMB

عنوان التصحيح: https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

مبدأ التنفيذ

قراءة موصى بها: بناء وحدات ما بعد الاختراق عبر حقن الـ Reflective DLL (الدرس الأول)