SMB远程代码执行漏洞（CVE-2020-0796）分析、验证及加固
摘要： SMB远程代码执行漏洞（CVE-2020-0796）分析、验证及加固
一、漏洞描述
漏洞公告显示，SMB 3.1.1协议中处理压缩消息时，对其中数据没有经过安全检查，直接使用会引发内存破坏漏洞，可能被攻击者利用远程执行任意代码。攻击者利用该漏洞无须权限即可实现远程代码执行，受黑客攻击的目标系统只需开机在线即可能被入侵。
二、漏洞危害等级
高
三、影响版本
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, Version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, Version 1909 (Server Core installation)
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows Server, Version 1903 (Server Core installation)
Windows 10 Version 1909 for 32-bit Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows Server, Version 1909 (Server Core installation)
四、漏洞原理
漏洞发生在srv2.sys中,由于SMB没有正确处理压缩的数据包,在解压数据包的时候使用客户端传过来的长度进行解压时,并没有检查长度是否合法.最终导致整数溢出。
SMB v3中支持数据压缩,如果SMB Header中的ProtocolId为0x424D53FC也就是0xFC, 'S', 'M', 'B'.那么就说明数据是压缩的,这时smb会调用压缩解压处理的函数.
首先SMB会调用srv2!Srv2ReceiveHandler函数接收smb数据包，并根据ProtocoIId设置对应的处理函数。
产生整数溢出漏洞的代码如下：
五、漏洞检测
已经很多的验证脚本，整体的思路都是验证回包中的特定位置是否包含十六进制的\x11\x03或\x02\x00这两个关键字。
在存在漏洞的SMB版本的通信回包如下：
python3版POC
也可以使用nmap的脚本进行验证，依托nmap的强大框架，更方便。
六、漏洞加固
1. 更新，完成补丁的安装。
操作步骤：设置->更新和安全->Windows更新，点击“检查更新”。
2.微软给出了临时的应对办法：
运行regedit.exe，打开注册表编辑器，在HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters建立一个名为DisableCompression的DWORD，值为1，禁止SMB的压缩功能。
3.对SMB通信445端口进行封禁。
补丁链接
原文链接：https://www.cnblogs.com/A66666/p/29635a243378b49ccb485c7a280df989.html
上一篇：CVE-2020-0688_...
下一篇：如何控制数十万台中华电信Mo...