CVE-2020-1350 SIGRed サービス拒否 PoC エクスプロイト

このリポジトリには、2020年7月14日にMicrosoftとCheck Point Researchによって公開されたSIGRed脆弱性に対するDoS PoCエクスプロイトの私のバージョンが含まれています。

@maxpl0itも7月15日に公開したPoCを書いていますが、私はエクスプロイトの構造を彼らとは少し異なる方法で構成したため、ブルーチームが検出能力を向上させ、テストするための別のデータを提供するためにこれをリリースする価値がまだあると考えました。

このリポジトリには、このエクスプロイトがネットワーク上でどのように見えるかを示すPCAPも含まれています。

ラボ環境

公開でこれを行うために必要なドメインを設定しようとしましたが、NSレコードの同期に問題が発生したため、DNSサービス内で内部設定しました。私の知る限り、これはエクスプロイトの有効性に影響しないはずです。

• 不正なDNSサーバーのhostsファイルエントリを追加します（例： C:\Windows\System32\drivers\etc\hosts 内の dnsexploitvm.lan）
• DNSロールを持つWindows Server VMをセットアップします
• TLDの新しいゾーンを追加します（ローカルでそのTLDを乗っ取ることを気にしなかったので lol を使用しました）
• そのドメインのNSとSOAを不正なDNSサーバーに変更します（SOAは不要かもしれません）
• TLD内に新しい委任ゾーンを追加し（例： hax.lol）、NSを不正なDNSサーバーに設定します

エクスプロイトの実行

スクリプトを実行する前に、スクリプト上部の DNS_SERVER_ADDR タプルに適切なIPアドレスを設定し、依存関係（dnspython）をインストールしてください。

次に、スクリプトを実行します（Python 3のみ）：

$ sudo ./cve-2020-1350-dos.py [victim DNS server] [DNS record]

テストは 9.hax.lol で行いましたが、かなり信頼性があります。長いドメイン名やラベルの多いレコードはうまく機能しません。

サンプルスクリプト出力：

$ sudo ./exploit.py 192.168.117.36 9.hax.lol
UDP server waiting for connection
TCP server waiting for connection
making DNS SIG request to 192.168.117.36: 9.hax.lol
got UDP connection from 192.168.117.36:54721
sending UDP response (len=27)
got TCP connection from 192.168.117.36:49804
sending TCP response (len=65523)

注意すべきいくつかの奇妙な点：

• スクリプトを2回実行する必要があるかもしれません
• スクリプトは被害者のDNSサーバーとの間にいくつかのぶら下がったTCP接続を残す可能性があります。これはDNSサービスのクラッシュの仕方が原因だと思います。これを修正する方法がわかったら、Twitter（@captainGeech42）で連絡するか、PRを送信してください。

クレジット

• ここで悪用されている元の脆弱性は、Check Point Research によって発見されました。
• また、@maxpl0itのPOC を参照して、私のエクスプロイトの問題のデバッグを迅速化しました。