CVE-2020-0665 - SID फ़िल्टर बाईपास

CVE-2020-0665 के लिए प्रूफ ऑफ कॉन्सेप्ट, जो सक्रिय निर्देशिका वनों में SID फ़िल्टरिंग को बाईपास करने की अनुमति देता है (क्रॉस फ़ॉरेस्ट हमला)।

हमले के लिए आवश्यकताएँ

• लक्ष्य डोमेन कंट्रोलर मशीन को फरवरी 2020 के बाद पैच नहीं किया जाना चाहिए।
• पहले से एक डोमेन कंट्रोलर ट्रस्टिंग फ़ॉरेस्ट से समझौता कर लिया हो (इस हमले के लिए SYSTEM उपयोक्ता के रूप में उच्च विशेषाधिकार की आवश्यकता है)।
• ट्रस्टिंग फ़ॉरेस्ट के साथ दो-तरफ़ा संक्रामक ट्रस्ट संबंध स्थापित हो।
• समझौता किए गए डीसी में python2.7 स्थापित हो, साथ ही समझौता किए गए डीसी ट्रस्टिंग फ़ॉरेस्ट में frida लाइब्रेरी (pip2 install frida) स्थापित हो। पी.एस.: मैंने इसका python3 के साथ परीक्षण नहीं किया है, शायद यह काम करे?
• समझौता किए गए डोमेन में एक चाइल्ड डोमेन और उसका SID, जिसे हम "चाइल्ड SID" कहेंगे। उदाहरण के लिए, यदि हमने contoso.local डोमेन से समझौता किया है, तो हमें एक चाइल्ड डोमेन child.contoso.local की आवश्यकता है।
• विदेशी डोमेन में एक वर्कस्टेशन और उसका SID, जिसे हम "लोकल SID" कहेंगे। उदाहरण के लिए, यदि हमारे पास एक विदेशी डोमेन test.local है (जिसका हमारे समझौता किए गए डोमेन contoso.local के साथ दो-तरफ़ा संक्रामक ट्रस्ट है), तो हमें SQL.test.local, DEV.test.local, MSSQL01.test.local, आदि जैसे वर्कस्टेशन की आवश्यकता है। यदि हम वर्कस्टेशन के रूप में DC का उपयोग करते हैं तो हमला काम नहीं करेगा।
• हुक करने के लिए एक प्रक्रिया। अनुशंसित: lsass.exe।
• धैर्य: हमले को ट्रिगर करने के लिए, डोमेन कंट्रोलर को NetLogon कॉल NetrGetForestTrustInformation करना होगा। यह हर 24 घंटे में होता है, इसलिए धैर्य रखें।

उपयोग

स्क्रिप्ट को child SID और local SID (वर्कस्टेशन) पास करें। यह किसी प्रक्रिया को उसके नाम या PID द्वारा इंटरसेप्ट और हुक करने के लिए frida_intercept.py स्क्रिप्ट के एक भाग का उपयोग करता है। याद रखें कि इस स्क्रिप्ट का परीक्षण python2.7 के साथ किया गया है, लेकिन यह python3 के साथ भी काम कर सकती है (दोनों के लिए संबंधित सॉफ़्टवेयर में frida लाइब्रेरी स्थापित होनी चाहिए):

python .\CVE-2020-0665.py --process <process to hook> --child-sid <Child SID> --local-sid <local SID>

उदाहरण के लिए:

python .\CVE-2020-0665.py --child-sid S-1-5-21-3878752286-62540090-653003637 --local-sid  S-1-5-21-2327345182-1863223493-3435513819 -p lsass.exe -v

यह वर्कस्टेशन लक्ष्य SID (S-1-5-21-2327345182-1863223493-3435513819) को हमारे नियंत्रण वाले हमारे वर्तमान सक्रिय निर्देशिका वन में एक चाइल्ड डोमेन SID (S-1-5-21-3878752286-62540090-653003637) से बदल देगा।

[!WARNING] यह पीड़ित वर्कस्टेशन के SID को बदल देगा। बाद में उन्हें पुनर्स्थापित करने के लिए इस हमले को करने से पहले सभी SID मानों को सहेजने का प्रयास करें।

---

अतिरिक्त

इस हमले के बारे में अधिक जानकारी के लिए, इस ब्लॉग को देखें जो सिखाता है कि हमले को कैसे जारी रखें (उदाहरण के लिए, ExtraSid Attack के माध्यम से गोल्डन टिकट बनाना)।

नैतिक उद्देश्यों के लिए। हमेशा नैतिक रहें (: