CVE-2020-1472 POC

Requiere la última versión de impacket desde GitHub con las estructuras netlogon añadidas.

Ten en cuenta que, por defecto, esto cambia la contraseña de la cuenta del controlador de dominio. Sí, esto te permite hacer DCSync, pero también rompe la comunicación con otros controladores de dominio, ¡así que ten cuidado!

Más información e investigación original aquí

Instalación

Solo funciona con Python 3.6 o superior! Si tu sistema operativo viene con impacket instalado (como Kali), asegúrate de eliminar primero todas las instalaciones existentes. Si aún así sigues teniendo errores de importación, ejecútalo desde un virtualenv o pipenv.

Pasos del exploit

• Lee el blog/whitepaper anterior para que sepas lo que estás haciendo
• Ejecuta cve-2020-1472-exploit.py con la IP y el nombre netbios del DC
• Haz DCSync con secretsdump, usando -just-dc y -no-pass, o hashes vacíos y la cuenta DCHOSTNAME$

Pasos de restauración

Si instalas una versión de impacket desde GitHub que se haya actualizado el 15 de septiembre de 2020 o después, secretsdump volcará automáticamente la contraseña de la máquina en texto plano (codificada en hexadecimal) al volcar los secretos del registro local. Ten en cuenta que esto es diferente del DCSync, ya que DCSync utiliza la cuenta de la máquina, mientras que el volcado del registro requiere ejecutar secretsdump contra el controlador de dominio como Administrador de Dominio (como la cuenta de Administrador integrada).

Alternativamente, en versiones ligeramente anteriores de secretsdump puedes volcar esta misma contraseña extrayendo primero las colmenas del registro y luego ejecutando secretsdump sin conexión (en ese caso siempre imprimirá la clave en texto plano porque no puede calcular los hashes Kerberos).

Con esta contraseña en texto plano puedes ejecutar restorepassword.py con el parámetro -hexpass. Esto primero autenticará con la contraseña vacía en el mismo DC y luego restablecerá la contraseña a la original. Asegúrate de proporcionar de nuevo el nombre netbios y la IP como destino, por ejemplo:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc