CVE-2020-1472 POC

يتطلب أحدث إصدار من impacket من GitHub مع إضافة هياكل netlogon.

لاحظ أن هذا يغير كلمة مرور حساب وحدة تحكم المجال افتراضيًا. نعم، يسمح لك هذا بإجراء DCSync، ولكنه أيضًا يقطع الاتصال بوحدات تحكم المجال الأخرى، لذا كن حذرًا!

المزيد من المعلومات والبحث الأصلي هنا

خطوات الاستغلال

• اقرأ المدونة/الورقة البيضاء أعلاه لتعرف ما تفعله
• قم بتشغيل cve-2020-1472-exploit.py مع عنوان IP واسم netbios لوحدة تحكم المجال
• قم بإجراء DCSync باستخدام secretsdump، باستخدام -just-dc و -no-pass أو تجزئات فارغة وحساب DCHOSTNAME$

خطوات الاستعادة

إذا قمت بتثبيت إصدار من impacket من GitHub تم تحديثه في 15 سبتمبر 2020 أو بعده، فسيقوم secretsdump تلقائيًا بتفريغ كلمة مرور الجهاز بنص واضح (مشفرة بالنظام الست عشري) عند تفريغ أسرار السجل المحلي.

بدلاً من ذلك، على الإصدارات الأقدم قليلاً، يمكنك تفريغ نفس كلمة المرور عن طريق استخراج خلايا السجل أولاً ثم تشغيل secretsdump دون اتصال (سيطبع المفتاح بنص واضح دائمًا لأنه لا يمكنه حساب تجزئات Kerberos).

باستخدام هذه كلمة المرور، يمكنك تشغيل restorepassword.py مع المعامل -hexpass. سيؤدي هذا أولاً إلى المصادقة بكلمة مرور فارغة على نفس وحدة تحكم المجال ثم إعادة تعيين كلمة المرور إلى الأصلية. تأكد من توفير اسم netbios وعنوان IP مرة أخرى كهدف، على سبيل المثال:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc