CVE-2020-1350 (SIGRed) - Windows DNS DoS Exploit

Die Credits für den Bug gehen vollständig an Check Point Research (@_cpresearch_), die eine unglaubliche Beschreibung dieses Bugs verfasst haben (Props an @sagitz_ für den Beitrag) Ihre Beschreibung ist hier zu finden.

Dieser Exploit wurde von @maxpl0it geschrieben

Kurze Zusammenfassung der Funktionsweise:

1. Im LAN lösen Sie eine DNS-Anfrage (genauer gesagt eine Anfrage nach den SIG-Einträgen) für eine bösartige Domain aus (z. B. 9.evil_domain.com)
2. Diese wird an den DNS-Server des angreifbaren Windows-Servers gesendet
3. Der angreifbare Server sendet eine Anfrage an den DNS, an den er Anfragen weiterleitet (normalerweise die standardmäßigen Google-IPs)
4. Der Google-DNS antwortet mit den Nameservern für die bösartige Domain
5. Der angreifbare Server fungiert dann als DNS-Client und sendet eine Anfrage an den bösartigen DNS-Server
6. Der bösartige Server antwortet mit einem Payload, der eine 2-Byte-Zahl überlaufen lässt, was zu einer kleineren Speicherzuweisung führt als erforderlich
7. Die Signatur wird kopiert und die Dinge brechen (natürlich), wodurch der DNS-Server des angreifbaren Servers abstürzt

Allgemeine Einrichtung:

• Dieser Exploit erfordert, dass Sie eine Domain mit eigenen Nameservern einrichten, die auf Ihren Server zeigen.
• Richten Sie den Server ein und führen Sie dieses Skript aus. Es wird auf Port 53 sowohl über TCP als auch UDP lauschen.
• Wenn Sie einen Fehler erhalten, dass die Ports belegt sind, verwenden Sie netstat -pa, um herauszufinden, was auf den Domain-Ports lauscht (wahrscheinlich systemd-resolved) und deaktivieren und stoppen Sie es. Wenn auf dem Server nichts lauscht, stellen Sie sicher, dass Sie alle Instanzen dieses Skripts beendet haben, bevor Sie es erneut ausführen.