hectorgie/cve-2020-1472Proof-of-Concept-Exploit für CVE-2020-1472 (ZeroLogon), der das Maschinenkonto-Passwort des Domain Controllers ändert und so DCSync sowie die vollständige Kompromittierung der Domäne ermöglicht. Enthält Wiederherstellungsfunktionalität.
Erfordert die neueste impacket-Version von GitHub mit hinzugefügten Netlogon-Strukturen.
Beachten Sie, dass dies standardmäßig das Passwort des Domänencontroller-Kontos ändert. Ja, das ermöglicht Ihnen DCSync, aber es unterbricht auch die Kommunikation mit anderen Domänencontrollern. Seien Sie also vorsichtig!
Weitere Informationen und die ursprüngliche Forschung hier
cve-2020-1472-exploit.py mit IP und NetBIOS-Name des DC aus-just-dc und -no-pass oder leeren Hashes und dem Konto DCHOSTNAME$Wenn Sie eine Version von impacket von GitHub installieren, die am oder nach dem 15. September 2020 aktualisiert wurde, gibt secretsdump beim Auslesen der lokalen Registry-Secrets automatisch das Klartext-Maschinenpasswort (hex-kodiert) aus.
Alternativ können Sie bei etwas älteren Versionen dasselbe Passwort auslesen, indem Sie zuerst die Registry-Hives extrahieren und dann secretsdump offline ausführen (es gibt dann immer den Klartextschlüssel aus, da es die Kerberos-Hashes nicht berechnen kann).
Mit diesem Passwort können Sie restorepassword.py mit dem Parameter -hexpass ausführen. Dies authentifiziert sich zuerst mit dem leeren Passwort am selben DC und setzt das Passwort dann auf das ursprüngliche zurück. Stellen Sie sicher, dass Sie den NetBIOS-Namen und die IP erneut als Ziel angeben, zum Beispiel:
python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc