CVE-2020-0796 SMBv3漏洞

简介

Microsoft Windows和Microsoft Windows Server都是美国微软（Microsoft）公司的产品，Microsoft Windows是一套个人设备使用的操作系统，Microsoft Windows Server是一套服务器操作系统，Server Message Block是其中的一个服务器信息传输协议。

微软公布了在Server Message Block 3.0（SMBv3）中发现的“蠕虫型”预授权远程代码执行漏洞。

无需账号密码蓝屏

影响版本

Windows Server, version 1909 (Server Core installation)

Windows Server, version 1903 (Server Core installation)

Windows 10 Version 1903 for 32-bit Systems

Windows 10 Version 1903 for x64-based Systems

Windows 10 Version 1903 for ARM64-based Systems

Windows 10 Version 1909 for 32-bit Systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 1909 for ARM64-based Systems

漏洞复现

这里我下载1903版本的，安装后将防火墙关闭，测试能不能ping通

被测试IP为192.168.109.139

Payload地址

https://github.com/ollypwn/SMBGhost

发现是脆弱的

Poc地址

https://github.com/chompie1337/SMBGhost_RCE_PoC

先安装环境

py -3 setup.py install

运行poc即可

进行攻击后，成功

修复建议

1、 安装补丁 微软官方出相应补丁

补丁地址

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0796 。

2、 使用注册表禁用SMBv3 的compression功能来达到漏洞缓解，命令如下：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force


3 、关闭SMB服务端口，禁止135，139，445端口对外部开放。