CVE-2020-0796-CNA

यह danigargu द्वारा प्रदान किए गए POC के आधार पर संशोधित किया गया है, जो Windows 10 पर विशेषाधिकार वृद्धि को दोहराता है और stephenfewer के रिफ्लेक्टिव DLL इंजेक्शन प्रोजेक्ट के साथ-साथ CobaltStrike दस्तावेज़ीकरण द्वारा प्रदान किए गए इंटरफ़ेस का उपयोग करके AggressorScripts विकसित किए गए हैं।

यह रिपॉजिटरी केवल रिफ्लेक्टिव DLL इंजेक्शन के कार्यान्वयन और परीक्षण पर चर्चा करने के लिए है, इसलिए कोई Release संस्करण प्रदान नहीं किया गया है, कृपया इसे स्वयं संकलित करें।

अभी तक विशिष्ट स्थिरता परीक्षण नहीं किया गया है, चर्चा का स्वागत है।

प्रभावित संस्करण (स्थानीय विशेषाधिकार वृद्धि + दूरस्थ ब्लू स्क्रीन)

• Windows 10 संस्करण 1903 32-बिट सिस्टम के लिए
• Windows 10 संस्करण 1903 x64-आधारित सिस्टम के लिए
• Windows 10 संस्करण 1903 ARM64-आधारित सिस्टम के लिए
• Windows Server, संस्करण 1903 (सर्वर कोर स्थापना)
• Windows 10 संस्करण 1909 32-बिट सिस्टम के लिए
• Windows 10 संस्करण 1909 x64-आधारित सिस्टम के लिए
• Windows 10 संस्करण 1909 ARM64-आधारित सिस्टम के लिए
• Windows Server, संस्करण 1909 (सर्वर कोर स्थापना)

भेद्यता सुदृढ़ीकरण

1. सिस्टम अपडेट करें

चरण: सेटिंग्स -> अपडेट और सुरक्षा -> Windows अपडेट, ‘अपडेट की जाँच करें’ पर क्लिक करें।

2. SMB संपीड़न फ़ंक्शन को अक्षम करें

regedit.exe चलाएँ, रजिस्ट्री संपादक खोलें, HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters में DisableCompression नामक एक DWORD बनाएँ, जिसका मान 1 हो।

3. SMB संचार के लिए पोर्ट 445 को फ़ायरवॉल से ब्लॉक करें

पैच पता: https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

कार्यान्वयन सिद्धांत

अनुशंसित पढ़ना: रिफ्लेक्टिव DLL इंजेक्शन के माध्यम से पोस्ट-एक्सप्लॉइटेशन मॉड्यूल का निर्माण (पाठ 1)