Ceci est un exercice éducatif. Utilisez-le à vos risques et périls.

Exploit CVE-2020-1350 alias SIGRED

Ceci est une leçon sur pourquoi vous ne devriez pas faire confiance aux binaires sur Internet., le correctif de contournement est authentique.

Correctif de contournement

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f
net stop DNS && net start DNS

• Lien Microsoft : https://support.microsoft.com/en-gb/help/4569509/windows-dns-server-remote-code-execution-vulnerability Microsoft a publié le correctif de sécurité, vous pouvez télécharger le correctif ici : https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350

Binaire Windows PoC

./CVE-2020-1350.exe will run the exploit.

Consultez README.pdf pour plus d'informations sur l'utilisation du binaire.

Le code source est disponible ici : https://github.com/zoomerxsec/Fake_CVE-2020-1350

Exécution de l'exploit sur Linux

Modifiez l'IP cible dans exploit.sh puis faites :

chmod +x exploit.sh
./exploit.sh

Infos du dépôt

• CVE-2020-1350.exe (sha256sum 9e6da40db7c7f9d5ba679e7439f03ef6aacee9c34f9a3f686d02af34543f2e75) - Binaire bénin qui ouvre un rick roll et ping un canary token
• Fix.bat - Fichier batch qui applique le correctif de Microsoft
• LICENCE - Le fichier de licence, ne fait rien non plus
• PoC.exe (sha256sum bf9657ff82065a676bc2aeb07877d5964a193da244e943ee37f08b931c9868b7)- Binaire bénin qui ouvre cmd.exe et ping en plus un canary token
• README.md - Détaille le README du dépôt
• windows-exploit.ps1 - Rick roll dans le shell, également bénin

Ressources supplémentaires

• https://blog.zsec.uk/cve-2020-1350-honeypoc/ - Statistiques de ce projet
• https://blog.zsec.uk/cve-2020-1350-research/ - Explication de ce projet :-)
• https://github.com/Neo23x0/sigma/blob/master/rules/windows/process_creation/win_exploit_cve_2020_1350.yml - Règles Signa pour la détection
• https://research.checkpoint.com/2020/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers/ - Analyse de la vulnérabilité
• https://blog.menasec.net/2019/02/threat-hunting-24-microsoft-windows-dns.html - Chasse aux menaces pour la vulnérabilité
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350 - CVE-2020-1350 | Vulnérabilité d'exécution de code à distance du serveur DNS Windows
• https://msrc-blog.microsoft.com/2020/07/14/july-2020-security-update-cve-2020-1350-vulnerability-in-windows-domain-name-system-dns-server/ - Mise à jour de sécurité de juillet 2020 : Vulnérabilité CVE-2020-1350 dans le serveur DNS Windows https://github.com/tinkersec/cve-2020-1350 PoC de Tinkersec, également pas réel