CVE-2020-0796永恒之黑漏洞浅谈与利用

漏洞简介

微软发布安全公告披露了一个最新的SMB远程代码执行漏洞(CVE-2020-0796)，攻击者利用该漏洞无须权限即可实现远程代码执行，一旦被成功利用，其危害不亚于永恒之蓝，全球 10 万台服务器或成首轮攻击目标。

SMB(Server Message Block)协议作为一种局域网文件共享传输协议，常被用来作为共享文件安全传输研究的平台。由于SMB 3.1. 1 协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码，受黑客攻击的目标系统只要开机在线即可能被入侵。据了解，凡政府机构、企事业单位网络中采用Windows 101903 之后的所有终端节点，如Windows家用版、专业版、企业版、教育版，Windows 10 1903 (19H1)、Windows 10 1909、 Windows Server 19H1 均为潜在攻击目标，Windows7 不受影响。

根据腾讯安全网络资产风险检测系统提供的数据，目前全球范围可能存在漏洞的SMB服务总量约 10 万台，直接暴露在公网，可能成为漏洞攻击的首轮目标。海外安全机构为这个漏洞起了多个代号，如SMBGhost、EternalDarkness(“永恒之黑”)，可见其危害之大。

环境搭建

可在虚拟机中搭建win10系统来进行复现。如有需要可留言获取iso文件。

漏洞检测

需要python环境 新手的话可以先百度一下，调试好python环境

安装好win 10 虚拟机

漏洞检测脚本有很多这里简单分享一个网上搜集来的。

安装win10虚拟机就不用我演示了吧，对于各位师傅来说这不就是1+1=2的问题嘛

永恒之黑的对象为采用Windows 10 1903之后的所有终端节点，如Windows家用版、专业版、企业版、教育版，Windows 10 1903 (19H1)、Windows 10 1909、 Windows Server 19H1均为潜在攻击目标，Windows 7不受影响。

原理为由于SMB 3.1.1协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码。

首先下载 CVE-2020-0796扫描检测工具，对网段进行批量扫描。

链接：百度网盘 请输入提取码

提取码：tj2h

 

我们发现刚刚安装好的win10虚拟机存在永恒之黑漏洞，那么我们就来复现一下吧

蓝屏复现

kali-linux下载蓝屏poc。

git clone https://github.com/eerykitty/CVE-2020-0796-PoC.git

 

我们进入此文件夹进行安装操作

 

利用poc对之前扫描出来的192.168.36.137进行蓝屏攻击。

 

直接蓝屏了

远程利用复现

使用msf生成payload。

msfvenom -p windows/x64/meterpreter/bind_tcp lport=1234 -f py -o evil.py

然后我们下载远程poc

 

然后将evil1.py 生成的code，替换到exploit.py的USER_PAYLOAD参数，并把参数buf改为USER_PAYLOAD。

（方便替换就把俩个文件都拷贝到windows替换了）

这是evil1.py生成的code，首先将buf统一替换成USER_PAYLOAD。

再统一复制到exploit.py中。

 

然后复制到kali里面运行exploit.py

python3 exploit.py -ip 192.168.36.137

然后msf来监听本地端口

 

 

至此已拿下win10靶机的system权限，两个漏洞都成功复现了

我们也可以在msf里面进行永恒之黑漏洞利用

我们来查看一下配置信息

 

msf里面的这个漏洞利用模块的SESSION会话我的思路是这样的

我们通过社工或者其他方式将msf生成的木马植入到目标靶机上，然后让马上线，在msf这边把会话切到后台运行，得到一个会话id，我们可以利用这个会话id进行设置SESSION

然后再漏洞利用永恒之黑，也是可以达到渗透到目标主机的效果的

这里我讲一下，这个永恒之黑漏洞是win10特有的，在特定版本下可以达到我们预期的效果，如果漏洞被修复了或者某些东西被禁用或者关闭了也是不可以利用的，我们在复现这个漏洞的时候一定要记得关闭防火墙！！！

好了，本次讲解到此结束，感谢各位师傅的光顾，我们下次见。