微软SMBv3协议远程代码执行漏洞（CVE-2020-0796）

0x01 摘要

    2020年3月11日，某国外安全公司发布了一个近期微软安全补丁包所涉及漏洞的综述，其中谈到了一个威胁等级被标记为Critical的SMB服务远程代码执行漏洞（CVE-2020-0796），攻击者可以利用此漏洞远程无需用户验证通过发送构造特殊的恶意数据导致在目标系统上执行恶意代码。

0x02 漏洞描述

    漏洞存在于Windows的SMBv3.0（文件共享与打印服务）中，目前技术细节暂不公布，对于漏洞的利用无需用户验证，通过构造恶意请求即可触发导致任意代码执行，系统受到非授权控制。

0x03 影响版本

    Windows 10 Version 1903 for 32-bit Systems
    Windows 10 Version 1903 for ARM64-based Systems
    Windows 10 Version 1903 for x64-based Systems
    Windows 10 Version 1909 for 32-bit Systems
    Windows 10 Version 1909 for ARM64-based Systems
    Windows 10 Version 1909 for x64-based Systems
    Windows Server, version 1903 (Server Core installation)
    Windows Server, version 1909 (Server Core installation)

0x04 靶场搭建

    1.安装win10影响版本即可（注意：不要更新最新补丁）

    2.攻击主机安装python环境

0x05 复现演示

    蓝屏演示

  提权演示

远程命令执行演示

0x06 修复方法

    1. 目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-0769

    2.如果暂时无法安装补丁，微软当前建议按如下临时解决方案处理：

禁用SMBv3压缩

     执行以下命令

Set-ItemProperty-Path”HKLM:SYSTEMCurrentControlSetServicesLanmanServerParameters”DisableCompression -Type DWORD -Value 1 -Force

    禁用SMB 3.0的压缩功能，是否使用需要结合自己业务进行判断。

公众号内回复CVE-2020-0796即可获取相关poc

声明：本文章仅供安全人员学习研究，勿利用本文中内容做违法的事，如有违反作者概不负责。

本文始发于微信公众号（凌晨安全）：微软SMBv3协议远程代码执行漏洞（CVE-2020-0796）