新聞中心
【漏洞分析】如何防護(hù)SMBGhost漏洞
在進(jìn)行滲透測(cè)試時(shí)，安博通發(fā)現(xiàn)不少主機(jī)存在一個(gè)叫做SMBGhost的漏洞。
這是一個(gè)什么漏洞呢？
SMBv3在處理惡意偽造的壓縮數(shù)據(jù)包時(shí)，出現(xiàn)錯(cuò)誤就會(huì)引發(fā)這個(gè)漏洞，從而造成SMB服務(wù)器的緩沖區(qū)溢出。攻擊者可以利用這個(gè)漏洞，在目標(biāo)SMB服務(wù)器或客戶端上執(zhí)行代碼，操控內(nèi)網(wǎng)主機(jī)，通過被控主機(jī)對(duì)內(nèi)網(wǎng)進(jìn)一步滲透，獲取內(nèi)網(wǎng)關(guān)鍵信息。
SMBGhost漏洞原理如下：
微軟在Windows 10 v1903/Windows Server v1903的SMB 3.1.1協(xié)議中，開啟了對(duì)數(shù)據(jù)壓縮傳輸?shù)闹С帧MB客戶端和服務(wù)端在準(zhǔn)備解壓數(shù)據(jù)（身份認(rèn)證請(qǐng)求）時(shí)，沒有對(duì)COMPRESSION_TRANSFORM_HEADE結(jié)構(gòu)進(jìn)行安全校驗(yàn)，導(dǎo)致后續(xù)分配buffer時(shí)整形溢出，這就是漏洞的成因。
漏洞影響版本？
Windows 10版本1903（32位系統(tǒng)）
Windows 10版本1903（基于ARM64系統(tǒng)）
Windows 10版本1903（基于x64系統(tǒng)）
Windows 10版本1909（32位系統(tǒng)）
Windows 10版本1909（基于ARM64系統(tǒng)）
Windows 10版本1909（基于x64系統(tǒng)）
Windows Server 1903（服務(wù)器核心安裝）
Windows Server 1909（服務(wù)器核心安裝）
SMBGhost漏洞影響Windows 10和Windows Server的多個(gè)版本，可謂是繼MS17-010（永恒之藍(lán)）、CVE-2019-0708后，又一個(gè)蠕蟲級(jí)RCE漏洞，危害嚴(yán)重。
實(shí)驗(yàn)室復(fù)現(xiàn)過程
靶機(jī)：192.168.211.3
攻擊機(jī)：192.168.203.177
1、使用poc腳本檢查是否存在SMBGhost漏洞，檢查結(jié)果顯示靶機(jī)存在該漏洞。
2、使用exp腳本進(jìn)行漏洞利用，反彈shell到指定設(shè)備。
指定設(shè)備上開啟nc監(jiān)聽，設(shè)備上線，可以執(zhí)行windows的cmd命令，靶機(jī)已經(jīng)被控制。
如何防護(hù)漏洞？
1、逐步點(diǎn)擊：設(shè)置-更新和安全-Windows更新-檢查更新，或直接下載對(duì)應(yīng)補(bǔ)?。↘B4551762）進(jìn)行安裝。
2、在注冊(cè)表HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters中，建立一個(gè)名為DisableCompression的DWORD，值為1，禁止SMB的壓縮功能?；騪owershell Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" DisableCompression -Type DWORD -Value 1 -Force 。
3、封堵445端口，或開啟windows防火墻。
4、使用安全設(shè)備對(duì)攻擊進(jìn)行攔截，目前安博通產(chǎn)品已有對(duì)應(yīng)規(guī)則，可對(duì)該漏洞進(jìn)行防護(hù)。
