rsmudge/cve-2020-0796-bofCobalt Strike Beacon Object File implémentant CVE-2020-0796 SMBGhost, une élévation de privilèges locale avec deux voies d'armement pour le vol de jetons et l'élévation de session.
C'est le bricolage de Raphael autour du SMBGhost LPE.
J'ai commencé avec le code source du Metasploit Framework:
cve-2020-0796: Débordement de tampon de compression SMBv3 (SMBGhost) (CVE 2020-0796) https://github.com/rapid7/metasploit-framework/tree/master/external/source/exploits/CVE-2020-0796 [Sous licence BSD]
Et voici ce que j'ai fait :
Cela a nécessité de déclarer plusieurs API Win32 dans le format Dynamic Function Resolution MODULE$Function. Du côté positif, cela a réduit une partie du code pour appeler des choses dans NTDLL puisque DFR s'en occupe pour nous. :)
J'ai supprimé le tableau ptr de 1 000 éléments inutilisé de get_handle_addr. Cela faisait que cl.exe insérait une fonction __chkstk à cause des variables locales dépassant une limite de 8 Ko. Les BOFs n'ont pas cette fonction disponible.
J'ai ensuite ajouté quelques API spécifiques à Beacon (par exemple, BeaconPrintf, BeaconInjectProcess, etc.) pour faire les choses à la manière native de Beacon.
J'ai dû écrire quelques fonctions pour compenser les trucs de libc que je n'ai pas (à cause des... BOFs).
Utilisez l'alias 'smbghost' dans Beacon, sans arguments, pour exécuter cet exploit et n'affecter que le jeton de processus Beacon. Si l'exploit réussit, votre jeton de processus actuel aura des super pouvoirs qu'il n'avait pas avant. Par exemple, vous pouvez maintenant injecter dans d'autres processus (même dans d'autres sessions de bureau) ou générer un processus enfant sous winlogon.exe. Vous devrez peut-être exécuter smbghost plusieurs fois car l'exploit ne réussit pas toujours du premier coup.
En option, utilisez 'elevate smbghost' pour obtenir une nouvelle session Beacon en utilisant l'API d'élévation de privilèges disponible dans l'Aggressor Script de Cobalt Strike. C'est acceptable pour une démo rapide, cela s'intègre aux workflows du produit, etc. mais... cela injecte dans winlogon.exe. Injecter dans winlogon.exe n'est pas une invariante de cette élévation particulière. Je soupçonne que tous les POCs publics le font car CreateRemoteThread ne fonctionne pas à travers les limites de processus et qui veut écrire le code supplémentaire pour le spoofing de processus parent ? winlogon.exe est le fruit à portée de main facile pour démontrer que nous avons des droits élevés.
Pour compiler cela avec Visual Studio :
Utilisez make.bat à partir de l'invite de commande Cross Tools x64.
Cela produira expoit.x64.o dans dist/
J'ai utilisé Visual Studio 2013. Les autres compilateurs/versions n'ont pas été testés. Je n'ai pas essayé/testé x86.
