CVE-2020-1350 SIGRed Denial of Service PoC Exploit

Dieses Repository enthält meine Version eines DoS-PoC-Exploits für die SIGRed-Sicherheitslücke, die von Microsoft und Check Point Research am 14. Juli 2020 veröffentlicht wurde.

@maxpl0it hat ebenfalls einen PoC geschrieben, den er am 15. Juli veröffentlichte, aber ich habe meinen Exploit etwas anders strukturiert, sodass ich dachte, es sei dennoch wertvoll, dies für Blue Teams zu veröffentlichen, um ihre Erkennungsfähigkeiten zu verbessern und weitere Daten zum Testen bereitzustellen.

Dieses Repository enthält auch einen PCAP-Dump, der zeigt, wie dieser Exploit im Netzwerk aussieht.

Laborumgebung

Ich habe versucht, die notwendigen Domains für eine öffentliche Nutzung einzurichten, hatte aber Probleme, die NS-Einträge korrekt zu synchronisieren, daher habe ich dies intern im DNS-Dienst eingerichtet. Soweit ich weiß, sollte dies die Wirksamkeit des Exploits nicht beeinträchtigen.

• Fügen Sie einen Hosts-Datei-Eintrag für Ihren schurkischen DNS-Server hinzu (z. B. dnsexploitvm.lan in C:\Windows\System32\drivers\etc\hosts)
• Richten Sie eine Windows Server-VM mit der DNS-Rolle ein.
• Fügen Sie eine neue Zone für eine TLD hinzu (ich habe lol verwendet, weil es mir egal war, diese TLD lokal zu kapern).
• Ändern Sie die NS- und SOA-Einträge dieser Domain auf Ihren schurkischen DNS-Server (SOA ist möglicherweise nicht erforderlich).
• Fügen Sie eine neue delegierte Zone in Ihrer TLD hinzu (z. B. hax.lol) und setzen Sie den NS auf Ihren schurkischen DNS-Server.

Ausführen des Exploits

Stellen Sie vor dem Ausführen des Skripts sicher, dass das Tupel DNS_SERVER_ADDR am Anfang des Skripts Ihre korrekte IP-Adresse enthält, und installieren Sie die Abhängigkeiten (dnspython).

Führen Sie dann das Skript aus (nur Python 3):

$ sudo ./cve-2020-1350-dos.py [victim DNS server] [DNS record]

Ich habe meine Tests mit 9.hax.lol durchgeführt, und es war ziemlich zuverlässig. Längere Domainnamen und Einträge mit vielen Labels funktionieren nicht so gut.

Beispielhafte Skriptausgabe:

$ sudo ./exploit.py 192.168.117.36 9.hax.lol
UDP server waiting for connection
TCP server waiting for connection
making DNS SIG request to 192.168.117.36: 9.hax.lol
got UDP connection from 192.168.117.36:54721
sending UDP response (len=27)
got TCP connection from 192.168.117.36:49804
sending TCP response (len=65523)

Ein paar seltsame Dinge, die zu beachten sind:

• Möglicherweise müssen Sie das Skript zweimal ausführen.
• Das Skript hinterlässt möglicherweise einige hängende TCP-Verbindungen mit dem betroffenen DNS-Server, ich denke aufgrund der Art und Weise, wie der DNS-Dienst abstürzt. Wenn Sie herausfinden, wie Sie das beheben können, kontaktieren Sie mich bitte auf Twitter (@captainGeech42) oder reichen Sie einen Pull Request ein.

Danksagungen

• Die ursprüngliche Sicherheitslücke, die hier ausgenutzt wird, wurde von Check Point Research entdeckt.
• Ich habe auch auf @maxpl0its POC verwiesen, um das Debugging eines Problems mit meinem Exploit zu beschleunigen.