漏洞背景

漏洞描述

     2020年7月，微软公开发布了Windows DNS Server远程代码执行漏洞，漏洞编号为CVE-2020-1350，该漏洞影响 2003 到 2019 年发布的所有 Windows Server 版本，CVSS 评分为满分 10 分。微软在公告中指出，该漏洞可引发蠕虫式传播。Windows DNS Server 在处理特制的 SIG 响应包时，存在远程代码执行漏洞，未经身份验证的攻击者可通过维护一个域名并设置指向恶意服务器的 NS 记录，通过向目标 DNS 服务器查询该域名的 SIG 来利用此漏洞，成功利用此漏洞的远程攻击者可在目标系统上以 SYSTEM 账户权限执行任意代码。经研判，该漏洞无需交互、不需要身份认证且 Windows DNS Server 默认配置可触发。

影响范围

Windows Server 2008 for 32-bit Systems Service Pack 2 Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation) Windows Server 2008 for x64-based Systems Service Pack 2 Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core inastallation) Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2012 Windows Server 2012 (Server Core installation) Windows Server 2012 R2 Windows Server 2012 R2 (Server Core installation) Windows Server 2016 Windows Server 2016 (Server Core installation) Windows Server 2019 Windows Server 2019 (Server Core installation) Windows Server version 1909 (Server Core installation) Windows Server version 1903 (Server Core installation) Windows Server version 2004 (Server Core installation)

影响后果

远程代码执行

补丁修复信息

kb4565540：https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-1350

漏洞分析

分析环境

环境

环境搭建

首先需要一个Windows server搭建DNS服务，教程在：https://www.jianshu.com/p/5038a95456b3，之后用nslookup来验证是否成功。

我们目前触发漏洞的整个流程是简化的，之前的流程是，下面的图来自这个链接，形容的特别合适，但是呢，这其中的一些步骤不是必须的，还得申请域名服务器让根域名服务器知道我的地址，太麻烦了。

我们就把1，2，3三个步骤给省略了，我们直接在dns服务器中添加一个条件转发器即可，这样dns查询记录过来之后，直接就转发到恶意的DNS上面了。