CVE-2020-0796RCE复现

漏洞描述

2020年3月11日，某国外安全公司发布了一个近期微软安全补丁包所涉及漏洞的综述，其中谈到了一个威胁等级被标记为Critical的SMB服务远程代码执行漏洞（CVE-2020-0796），攻击者可能利用此漏洞远程无需用户验证通过发送构造特殊的恶意数据导致在目标系统上执行恶意代码，从而获取机器的完全控制。

受影响系统及应用版本

Windows  10 Version 1903 for 32-bit Systems                          
Windows  10 Version 1903 for ARM64-based Systems                     
Windows  10 Version 1903 for x64-based Systems                   
Windows  10 Version 1909 for 32-bit Systems                          
Windows  10 Version 1909 for ARM64-based Systems                     
Windows  10 Version 1909 for x64-based Systems                   
Windows  Server, version 1903 (Server Core installation)       
Windows  Server, version 1909 (Server Core installation)   

漏洞复现

需要工具

奇安信CVE-2020-0796漏洞远程无损扫描工具：

http://dl.qianxin.com/skylar6/CVE-2020-0796-Scanner.zip

SMBGhost_RCE_PoC：

需要的环境

受影响系统即可，我这边使用的是1909

攻击机：Kali Linux IP：192.168.100.159

靶机：Windows10 1909 IP：192.168.100.144

复现过程

首先关闭Windows10上的防火墙

确保攻击机和靶机网络是互通的

运行漏洞检测工具，确认该Windows10存在漏洞

接下来在kali中安装python脚本所需要的依赖

pip install lznt1

运行exp

python exploit.py -ip 192.168.100.144

运行exp后Windows蓝屏重启

貌似是exp运行后，Windows直接溢出了，尝试多次都是如此

REC复现失败了emm... 估计是需要修改poc，我太菜了不会改/(ㄒoㄒ)/~~

修复方法

1、微软已经发布了此漏洞的安全补丁，补丁链接：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796

2、如果暂时无法安装补丁，微软当前建议按如下临时解决方案处理：

执行以下命令来禁用SMB 3.0的压缩功能，是否使用需要结合自己业务进行判断。

Set-ItemProperty-Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters"DisableCompression -Type DWORD -Value 1 -Force