CVE-2020-1472 POC

Erfordert das neueste impacket von GitHub mit hinzugefügten Netlogon-Strukturen.

Beachten Sie, dass dies standardmäßig das Passwort des Domain-Controller-Kontos ändert. Ja, das ermöglicht DCSync, aber es unterbricht auch die Kommunikation mit anderen Domain-Controllern, seien Sie also vorsichtig damit!

Weitere Informationen und die ursprüngliche Forschung hier

Installation

Funktioniert nur mit Python 3.6 und neuer! Wenn Ihr Betriebssystem mit impacket ausgeliefert wird (wie Kali), stellen Sie sicher, dass Sie zuerst alle vorhandenen Installationen entfernen. Wenn Sie danach immer noch Importfehler erhalten, führen Sie es in einer virtualenv oder pipenv aus.

Exploit-Schritte

• Lesen Sie den Blog/Whitepaper oben, um zu wissen, was Sie tun
• Führen Sie cve-2020-1472-exploit.py mit der IP-Adresse und dem NetBIOS-Namen des DC aus
• DCSync mit secretsdump, unter Verwendung von -just-dc und -no-pass oder leeren Hashes und dem DCHOSTNAME$-Konto

Wiederherstellungsschritte

Wenn Sie eine Version von impacket von GitHub installieren, die am oder nach dem 15. September 2020 aktualisiert wurde, gibt secretsdump beim Dumpen der lokalen Registry-Geheimnisse automatisch das Klartext-Maschinenpasswort (hex-kodiert) aus. Beachten Sie, dass sich dies von DCSync unterscheidet, da DCSync das Maschinenkonto verwendet, während das Dumpen der Registrierung erfordert, dass Sie secretsdump als Domänenadministrator (wie das integrierte Administrator-Konto) gegen den Domain-Controller ausführen.

Alternativ können Sie bei etwas älteren Versionen von secretsdump dasselbe Passwort ausgeben, indem Sie zuerst die Registry-Hives extrahieren und secretsdump dann offline ausführen (es gibt dann immer den Klartextschlüssel aus, da es die Kerberos-Hashes nicht berechnen kann).

Mit diesem Klartextpasswort können Sie restorepassword.py mit dem Parameter -hexpass ausführen. Dies authentifiziert sich zuerst mit dem leeren Passwort an demselben DC und setzt das Passwort dann auf das ursprüngliche zurück. Stellen Sie sicher, dass Sie den NetBIOS-Namen und die IP erneut als Ziel angeben, also zum Beispiel:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc