CVE-2020-0796-CNA

Basierend auf dem von danigargu bereitgestellten POC modifiziert, um eine Privilege Escalation unter Windows 10 zu reproduzieren. Außerdem wurde basierend auf dem ReflectiveDLLInjection-Projekt von stephenfewer und den in der CobaltStrike-Dokumentation bereitgestellten Schnittstellen ein AggressorScript entwickelt.

Dieses Repository dient ausschließlich dem Austausch über die Implementierung und das Testen von Reflective-DLL-Injection. Daher wird keine Release-Version bereitgestellt. Bitte selbst kompilieren.

Spezifische Stabilitätstests wurden noch nicht durchgeführt. Feedback ist willkommen.

Betroffene Versionen (Lokale Privilege Escalation + Remote Blue Screen)

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows Server, Version 1903 (Server Core installation)
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows Server, Version 1909 (Server Core installation)

Schwachstellenminderung

1. System aktualisieren

Vorgehen: Einstellungen -> Update und Sicherheit -> Windows Update, klicken Sie auf „Nach Updates suchen“.

2. SMB-Komprimierung deaktivieren

Führen Sie regedit.exe aus, öffnen Sie den Registrierungseditor, erstellen Sie unter HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters einen DWORD mit dem Namen DisableCompression und dem Wert 1.

3. Blockieren Sie die SMB-Kommunikation über Port 445 mit der Firewall

Patch-Adresse: https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

Implementierungsprinzip

Empfohlene Lektüre: Aufbau von Post-Exploitation-Modulen durch Reflective-DLL-Injection (Lektion 1)