privia-security/adzeroZerologon AutoExploit Tool | CVE-2020-1472
Das anfällige Verschlüsselungsprotokoll wird anstelle des Authentifizierungsmechanismus im Netlogon-Protokoll implementiert. Ein nicht authentifizierter Angreifer kann die Zerologon-Sicherheitslücke ausnutzen, um das Computerkontokennwort des Domain Controllers auf leer (null) zu setzen (NT-Hash = 31d6cfe0d16ae931b73c59d7e0c089c0). Dadurch kann der Angreifer mit den erstellten Anmeldeinformationen auf den Domain Controller zugreifen und die Anmeldeinformationen anderer Benutzer erlangen. Mit den Anmeldeinformationen autorisierter Benutzer kann eine Sitzung mit hohen Berechtigungen auf dem Domain Controller erlangt werden.
python3 -m venv env
source env/bin/activate
pip install -r requirements.txt
python3 ADZero.py dc_ip
Mit dem vom Team von Privia Security entwickelten Tool ADZero kann auf einem Domain Controller, der die Zerologon-Sicherheitslücke aufweist, eine Eingabeaufforderungssitzung mit der Berechtigung nt authority\system erlangt werden.
Durch Ausführen des Befehls python3 ADZero.py dc_ip wird eine Eingabeaufforderung-Sitzung auf dem Domain Controller mit der IP-Adresse dc_ip erlangt.
Das Tool ADZero sendet eine SMB-Anmeldeanfrage mit leeren Anmeldeinformationen, um die Informationen dc_name (Computername) und dom_name (Domänenname) des Ziel-Domain-Controllers zu erhalten. Aus der Antwort können die Informationen dc_name (Computername) und dom_name (Domäne) des Domain Controllers abgerufen werden.
Unter Verwendung der Informationen dc_name (Computername), com_name (Computeraccount, der durch Anhängen des Symbols $ an den Computernamen gebildet wird) und dc_ip (IP-Adresse des Domain Controllers) wird die Sicherheitslücke ausgelöst. Durch die Auslösung der Sicherheitslücke infolge einer Anfrage über das Netlogon-Remote-Protokoll wird das Passwort von com_name (Computeraccount) auf leer gesetzt (NT-Hash = 31d6cfe0d16ae931b73c59d7e0c089c0).
Mithilfe des Moduls secretdump.py, einem der Impacket-Module, werden mit com_name (Computeraccount), dom_name, dc_ip und dem für com_name erstellten leeren Passwort die Passwortinformationen des Benutzers Administrator vom Domain Controller als LM:NTLM-Hash gedumpt. Außerdem wird der während des Dump-Vorgangs erhaltene LM:NTLM-Hash in eine Datei namens out geschrieben.
Durch die Verwendung des erhaltenen LM:NTLM-Hashs mit dem Modul smbexec.py aus den Impacket-Modulen wird eine Eingabeaufforderung-Sitzung auf dem Domain Controller erlangt. Die Technik, den LM:NTLM-Hashwert als Passwort zu verwenden, wird als Pass The Hash bezeichnet. Eine Meterpreter-Sitzung auf dem Domain Controller kann durch die Verwendung des in die Datei out geschriebenen LM:NTLM-Hashwerts mit dem Exploit-Modul exploit/windows/smb/psexec aus dem Metasploit Framework erlangt werden.
