CVE-2020-0796-CNA

Модифицирован на основе POC, предоставленного danigargu, реализовано повышение привилегий на Windows 10, а также на основе проекта рефлексивных DLL от stephenfewer и интерфейса, описанного в документации CobaltStrike, разработаны AggressorScripts.

Этот репозиторий предназначен только для обмена реализациями и тестированием инъекций рефлексивных DLL, поэтому выпущенные версии не предоставляются. Компилируйте самостоятельно.

Конкретная стабильность еще не протестирована, приветствуются обсуждения.

Подверженные версии (локальное повышение привилегий + удаленный синий экран)

• Windows 10 Version 1903 for 32-bit Systems
• Windows 10 Version 1903 for x64-based Systems
• Windows 10 Version 1903 for ARM64-based Systems
• Windows Server, Version 1903 (Server Core installation)
• Windows 10 Version 1909 for 32-bit Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows 10 Version 1909 for ARM64-based Systems
• Windows Server, Version 1909 (Server Core installation)

Укрепление уязвимости

1. Обновите систему

Действия: Настройки -> Обновление и безопасность -> Центр обновления Windows, нажмите "Проверить обновления".

2. Отключите функцию сжатия SMB

Запустите regedit.exe, откройте редактор реестра, создайте в HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters значение DWORD с именем DisableCompression и значением 1.

3. Заблокируйте порт 445 для SMB-связи с помощью брандмауэра.

Адрес патча: https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

Принцип реализации

Рекомендуется к прочтению: Построение пост-эксплуатационного модуля с помощью инъекции рефлексивной DLL (Урок 1)