fa1c0n35/cve-2020-1472Proof-of-Concept-Exploit für CVE-2020-1472 (ZeroLogon), der das Kennwort des Computerkontos des Domänencontrollers ändert und so DCSync und die vollständige Kompromittierung der Domäne ermöglicht. Enthält Wiederherstellungsfunktionalität.
Erfordert die neueste impacket von GitHub mit hinzugefügten Netlogon-Strukturen.
Beachten Sie, dass dies standardmäßig das Passwort des Domain-Controller-Kontos ändert. Ja, dies ermöglicht Ihnen DCSync, unterbricht aber auch die Kommunikation mit anderen Domain-Controllern, seien Sie also vorsichtig!
Weitere Informationen und die ursprüngliche Forschung hier
cve-2020-1472-exploit.py mit der IP und dem NetBIOS-Namen des DC aus-just-dc und -no-pass oder leeren Hashes und dem DCHOSTNAME$-KontoWenn Sie eine Version von impacket von GitHub installieren, die am oder nach dem 15. September 2020 aktualisiert wurde, wird secretsdump beim Dumpen der lokalen Registry-Geheimnisse automatisch das Klartext-Maschinenpasswort (hex-kodiert) ausgeben.
Alternativ können Sie bei etwas älteren Versionen dasselbe Passwort dumpen, indem Sie zuerst die Registry-Hives extrahieren und dann secretsdump offline ausführen (es wird dann immer den Klartext-Schlüssel ausgeben, da es die Kerberos-Hashes nicht berechnen kann).
Mit diesem Passwort können Sie restorepassword.py mit dem Parameter -hexpass ausführen. Dies wird zuerst mit dem leeren Passwort am selben DC authentifizieren und dann das Passwort auf das ursprüngliche zurücksetzen. Stellen Sie sicher, dass Sie den NetBIOS-Namen und die IP erneut als Ziel angeben, z.B.:
python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc