t31m0/cve-2020-1472Exploit für CVE-2020-1472 (ZeroLogon), der das Maschinenkontopasswort eines Domänencontrollers ändert und so DCSync und vollständige Domänenkompromittierung ermöglicht. Enthält Wiederherstellungsfunktion.
Erfordert die neueste impacket-Version von GitHub mit hinzugefügten Netlogon-Strukturen.
Beachten Sie, dass dies standardmäßig das Passwort des Domain-Controller-Kontos ändert. Ja, das ermöglicht Ihnen DCSync, aber es unterbricht auch die Kommunikation mit anderen Domain-Controllern, seien Sie also vorsichtig!
Weitere Informationen und die Originalforschung hier
cve-2020-1472-exploit.py mit IP und NetBIOS-Namen des DC aus.-just-dc und -no-pass oder leeren Hashes sowie dem Konto DCHOSTNAME$.Wenn Sie eine Version von impacket von GitHub installieren, die am oder nach dem 15. September 2020 aktualisiert wurde, gibt secretsdump beim Dumpen der lokalen Registry-Secrets automatisch das Klartext-Maschinenpasswort (hex-kodiert) aus.
Alternativ können Sie bei etwas älteren Versionen dasselbe Passwort ausgeben, indem Sie zunächst die Registry-Hives extrahieren und dann secretsdump offline ausführen (es gibt dann immer den Klartextschlüssel aus, da es die Kerberos-Hashes nicht berechnen kann).
Mit diesem Passwort können Sie restorepassword.py mit dem Parameter -hexpass ausführen. Das Skript authentifiziert sich zuerst mit dem leeren Passwort am selben DC und setzt das Passwort dann auf das ursprüngliche zurück. Stellen Sie sicher, dass Sie NetBIOS-Name und IP erneut als Ziel angeben, zum Beispiel:
python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc