"坏邻居"检测，CVE-2020-16898（Windows TCP/IP RCE）

摘要:

针对 CVE-2020-16898（Windows TCP/IP 远程代码执行漏洞）的网络检测包

参考资料:

• https://corelight.blog/2020/10/15/zeek-community-activates-to-detect-bad-neighbor-cve-2020-16898/
• https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC
• 由 Zeek 社区独立且并行开发的其他检测包： https://github.com/initconf/CVE-2020-16898-Bad-Neighbor/blob/master/scripts/CVE-2020-16898-Bad-Neighbor.zeek
  https://github.com/esnet-security/cve-2020-16898

发出的通知:

CVE-2020-16898 exploit detected from %s. https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898#ID0EUGAC . Details from packet for reference: info=%s , options=%s

使用说明、注意事项与建议:

• 针对您已有的 pcap 文件使用：zeek -Cr scripts/__load__.zeek your.pcap
• 此包可在集群或非集群环境中运行。

反馈

• 随着细节的浮现，我们渴望改进此包以造福社区，欢迎通过任何建议和反馈联系作者。