关联漏洞
标题：
微软 Microsoft SMBv3 缓冲区错误漏洞
(CVE-2020-0796)
描述：Microsoft SMBv3是美国微软（Microsoft）公司的一个为设备提供SMB功能的支持固件。 Microsoft Server Message Block 3.1.1 (SMBv3)版本中存在缓冲区错误漏洞，该漏洞源于SMBv3协议在处理恶意压缩数据包时，进入了错误流程。远程未经身份验证的攻击者可利用该漏洞在应用程序中执行任意代码。以下产品及版本受到影响：Microsoft Windows 10版本1903，Windows Server版本1903，Windows 10版本1909，Windo
描述
Cobalt Strike AggressorScripts CVE-2020-0796
介绍
# CVE-2020-0796-CNA
根据[danigargu](https://github.com/danigargu/CVE-2020-0796)提供的POC进行修改，实现了Windows 10的提权复现并根据[stephenfewer](https://github.com/stephenfewer/ReflectiveDLLInjection)的反射DLL项目与CobaltStrike文档提供的接口开发了AggressorScripts。
**本仓库仅仅为了交流反射DLL注入的实现与测试，因此不提供Release版本，请自行编译**
> 具体还未进行稳定性测试，欢迎交流
## 影响版本（本地提权+远程蓝屏）
- Windows 10 Version 1903 for 32-bit Systems
- Windows 10 Version 1903 for x64-based Systems
- Windows 10 Version 1903 for ARM64-based Systems
- Windows Server, Version 1903 (Server Core installation)
- Windows 10 Version 1909 for 32-bit Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows Server, Version 1909 (Server Core installation)
## 漏洞加固
1. 更新系统
操作步骤：设置->更新和安全->Windows更新，点击“检查更新”。
2. 禁止SMB的压缩功能
运行`regedit.exe`，打开注册表编辑器，在`HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters`建立一个名为`DisableCompression`的`DWORD`，值为`1`。
3. 使用防火墙对SMB通信445端口进行封禁
补丁地址：https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762
## 实现原理
推荐阅读：[通过反射DLL注入来构建后渗透模块（第一课）](https://payloads.online/archivers/2020-03-02/1)
文件快照
[4.0K] /data/pocs/b020958a7361340c43227539e9b5e452871d0ad0
├── [ 468] CVE_2020_0796.cna
├── [4.0K] CVE_2020_0796_CNA
│ ├── [8.7K] CVE_2020_0796_CNA.vcxproj
│ ├── [1.6K] CVE_2020_0796_CNA.vcxproj.filters
│ ├── [ 154] framework.h
│ ├── [346K] ntos.h
│ ├── [ 153] pch.cpp
│ ├── [ 531] pch.h
│ ├── [ 12K] ReflectiveDll.c
│ ├── [2.7K] ReflectiveDLLInjection.h
│ ├── [ 21K] ReflectiveLoader.c
│ └── [6.9K] ReflectiveLoader.h
├── [1.4K] CVE_2020_0796_CNA.sln
└── [1.5K] README.md
1 directory, 13 files
备注
1. 建议优先通过来源进行访问。
2. 如果因为来源失效或无法访问，请发送邮箱到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
3. 神龙已为您对POC代码进行快照，为了长期维护，请考虑为本地POC付费，感谢您的支持。