CVE-2020-0796-CNA

Modifié à partir du POC fourni par danigargu, implémente une élévation de privilèges sur Windows 10 et développe des AggressorScripts en utilisant le projet de DLL réfléchissante de stephenfewer et l'interface fournie par la documentation de CobaltStrike.

Ce dépôt est uniquement destiné à l'échange d'implémentations et de tests d'injection de DLL réfléchissante, donc aucune version Release n'est fournie, veuillez compiler vous-même

Les tests de stabilité n'ont pas encore été effectués, n'hésitez pas à échanger.

Versions affectées (élévation de privilèges locale + écran bleu à distance)

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows Server, Version 1903 (Server Core installation)
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows Server, Version 1909 (Server Core installation)

Renforcement de la vulnérabilité

1. Mettre à jour le système

Procédure : Paramètres -> Mise à jour et sécurité -> Windows Update, cliquez sur « Rechercher les mises à jour ».

2. Désactiver la compression SMB

Exécutez regedit.exe, ouvrez l'éditeur de registre, créez une valeur DWORD nommée DisableCompression avec les données 1 dans HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters.

3. Bloquer le port 445 du trafic SMB avec le pare-feu

Adresse du correctif : https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

Principe de mise en œuvre

Lecture recommandée : Construction de modules post-exploitation via l'injection de DLL réfléchissante (Leçon 1)