CVE-2020-1350 SIGRed Отказ в обслуживании PoC Эксплойт

В этом репозитории находится моя версия PoC-эксплойта DoS для уязвимости SIGRed, раскрытой Microsoft и Check Point Research 14 июля 2020 года.

@maxpl0it также написал PoC, который он опубликовал 15 июля, но я структурировал свой эксплойт немного иначе, чем они, поэтому я подумал, что всё ещё есть смысл опубликовать его для синих команд, чтобы повысить их возможности обнаружения и предоставить ещё одни данные для тестирования.

В этом репозитории также есть PCAP-файл, показывающий, как этот эксплойт выглядит в сети.

Лабораторная среда

Я пытался настроить необходимые домены для публичного тестирования, но у меня возникли проблемы с синхронизацией NS-записей, поэтому я настроил всё внутренне в DNS Service. Насколько я знаю, это не должно повлиять на эффективность эксплойта.

• Добавьте запись в файл hosts для вашего подставного DNS-сервера (например, dnsexploitvm.lan в C:\Windows\System32\drivers\etc\hosts)
• Настройте виртуальную машину Windows Server с ролью DNS
• Добавьте новую зону для TLD (я использовал lol, потому что мне было всё равно на перехват этого TLD локально)
• Измените NS и SOA для этого домена на ваш подставной DNS-сервер (SOA, возможно, не обязателен)
• Добавьте новую делегированную зону в вашем TLD (например, hax.lol) и укажите NS как ваш подставной DNS-сервер

Запуск эксплойта

Перед запуском скрипта убедитесь, что установили кортеж DNS_SERVER_ADDR в начале скрипта с вашим правильным IP-адресом, и установите зависимости (dnspython)

Затем запустите скрипт (только Python 3):

$ sudo ./cve-2020-1350-dos.py [victim DNS server] [DNS record]

Я тестировал с 9.hax.lol, и это было довольно надёжно. Более длинные доменные имена и записи с большим количеством меток работают не так хорошо.

Пример вывода скрипта:

$ sudo ./exploit.py 192.168.117.36 9.hax.lol
UDP server waiting for connection
TCP server waiting for connection
making DNS SIG request to 192.168.117.36: 9.hax.lol
got UDP connection from 192.168.117.36:54721
sending UDP response (len=27)
got TCP connection from 192.168.117.36:49804
sending TCP response (len=65523)

Пара странных моментов, о которых стоит знать:

• Возможно, потребуется запустить скрипт дважды
• Скрипт может оставить несколько висеть TCP-соединений с DNS-сервером жертвы, я думаю, из-за того, как крашится DNS-сервис. Если вы разберётесь, как это исправить, пожалуйста, напишите мне в Twitter (@captainGeech42) или отправьте PR.

Благодарности

• Изначальная уязвимость, используемая здесь, была обнаружена Check Point Research
• Я также использовал PoC от @maxpl0it, чтобы ускорить отладку проблемы с моим эксплойтом