这是一项教育性练习。使用风险自负。

CVE-2020-1350 漏洞利用工具，又名 SIGRED

这是一堂关于为何不应信任互联网上二进制文件的课程，临时修复方法真实有效。

临时修复方法

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f
net stop DNS && net start DNS

• 微软链接：https://support.microsoft.com/en-gb/help/4569509/windows-dns-server-remote-code-execution-vulnerability 微软已发布安全补丁，可在此处下载：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350

Windows 二进制概念验证

./CVE-2020-1350.exe 将运行漏洞利用程序。

查看 README.pdf 以获取更多关于如何使用该二进制文件的信息。

源代码可在此处获取：https://github.com/zoomerxsec/Fake_CVE-2020-1350

在 Linux 上运行漏洞利用程序

将 exploit.sh 中的目标 IP 地址修改后，执行：

chmod +x exploit.sh
./exploit.sh

仓库信息

• CVE-2020-1350.exe (sha256sum 9e6da40db7c7f9d5ba679e7439f03ef6aacee9c34f9a3f686d02af34543f2e75) - 良性二进制文件，会打开 Rick Roll 视频并向 Canary Token 发送 ping 请求
• Fix.bat - 应用微软修复工具的批处理文件
• LICENSE - 许可证文件，同样无实际作用
• PoC.exe (sha256sum bf9657ff82065a676bc2aeb07877d5964a193da244e943ee37f08b931c9868b7) - 良性二进制文件，会打开 cmd.exe 并额外向 Canary Token 发送 ping 请求
• README.md - 仓库的 README 说明
• windows-exploit.ps1 - 在 PowerShell 中播放 Rick Roll 视频，同样为良性文件

其他资源

• https://blog.zsec.uk/cve-2020-1350-honeypoc/ - 本项目统计数据
• https://blog.zsec.uk/cve-2020-1350-research/ - 本项目说明 :-)
• https://github.com/Neo23x0/sigma/blob/master/rules/windows/process_creation/win_exploit_cve_2020_1350.yml - 用于检测的 Sigma 规则
• https://research.checkpoint.com/2020/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers/ - 漏洞分析文章
• https://blog.menasec.net/2019/02/threat-hunting-24-microsoft-windows-dns.html - 对该漏洞的威胁狩猎
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1350 - CVE-2020-1350 | Windows DNS 服务器远程代码执行漏洞
• https://msrc-blog.microsoft.com/2020/07/14/july-2020-security-update-cve-2020-1350-vulnerability-in-windows-domain-name-system-dns-server/ - 2020年7月安全更新：Windows 域名系统（DNS）服务器中的 CVE-2020-1350 漏洞
• https://github.com/tinkersec/cve-2020-1350 Tinkersec 的概念验证代码，同样非真实漏洞利用