CVE-2020-0796-SMB漏洞复现

发布于 2020-03-20  833 次阅读


0x01 漏洞简介

  • 漏洞名称:SMB远程代码执行漏洞 CVE-2020-0796
  • 威胁等级:高危
  • 漏洞类型:远程代码执行
  • 该漏洞是由于 SMBv3 协议在处理恶意的压缩数据包时出错所造成的,它可让远程且未经身份验证的攻击者在目标系统上执行任意代码。该漏洞类似于永恒之蓝,存在被蠕虫化利用的可能。

0x02 影响版本

  • 适用于 32 位系统的 Windows 10 版本 1903
  • Windows 10 1903 版(用于基于 x64 的系统)
  • Windows 10 1903 版(用于基于 ARM64 的系统)
  • Windows Server 1903 版(服务器核心安装)
  • 适用于 32 位系统的 Windows 10 版本 1909
  • Windows 10 版本 1909(用于基于 x64 的系统)
  • Windows 10 1909 版(用于基于 ARM64 的系统)
  • Windows Server 版本 1909(服务器核心安装)

0x03 漏洞检测

Python 脚本

python3 scanner.py <IP>
#如果运行失败,提示缺少xxx模块,根据提示安装所需模块

Powershell检测脚本

#Windows 默认执行不受信任的 ps 脚本,因此需要设置
set-executionpolicy remotesigned
#选择 Y 即可, 一定要管理员执行 Powershell
.\CVE-2020-0796-Smbv3-checker.ps1
#Please make a selection:1
You chose option #1
SMBv3 Compression is not configued. SMBv3 Compression is set to enabled by default.
You're vulnerable
按 Enter 键继续...:

0x04 攻击过程

Exp下载地址

  • 靶机: Windows 10 version 1909
python3 CVE-2020-0796.py <IP>
#需要配置环境,根据提示安装所需模块

0x05 视频演示

0x06 漏洞修复

  1. 官方补丁
  2. 腾讯电脑管家 SMB漏洞修复工具
  3. 安天 SMBv3 的 RCE漏洞强化工具
  4. 禁用 SMBv3 压缩
#powershell:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force


我不懂世界到底在热闹些什么