CVE-2020-1472 POC

नवीनतम impacket GitHub से लेना आवश्यक है, जिसमें netlogon संरचनाएँ जोड़ी गई हों।

ध्यान दें कि डिफ़ॉल्ट रूप से यह डोमेन नियंत्रक खाते का पासवर्ड बदल देता है। हाँ, यह आपको DCSync करने की अनुमति देता है, लेकिन यह अन्य डोमेन नियंत्रकों के साथ संचार भी तोड़ देता है, इसलिए इससे सावधान रहें!

अधिक जानकारी और मूल शोध यहाँ

शोषण चरण

• ऊपर दिए गए ब्लॉग/व्हाइटपेपर को पढ़ें ताकि आप जान सकें कि आप क्या कर रहे हैं
• DC के IP और netbios नाम के साथ cve-2020-1472-exploit.py चलाएँ
• secretsdump के साथ DCSync करें, -just-dc और -no-pass या खाली हैश और DCHOSTNAME$ खाते का उपयोग करें

पुनर्स्थापना चरण

यदि आप GitHub से impacket का कोई संस्करण स्थापित करते हैं जो 15 सितंबर 2020 या उसके बाद अपडेट किया गया था, तो secretsdump स्थानीय रजिस्ट्री रहस्यों को डंप करते समय स्वचालित रूप से सादा पाठ मशीन पासवर्ड (हेक्स एन्कोडेड) डंप करेगा।

वैकल्पिक रूप से थोड़े पुराने संस्करणों पर आप पहले रजिस्ट्री हाइव्स निकालकर और फिर secretsdump को ऑफलाइन चलाकर (यह हमेशा सादा पाठ कुंजी प्रिंट करेगा क्योंकि यह Kerberos हैश की गणना नहीं कर सकता) इसी पासवर्ड को डंप कर सकते हैं।

इस पासवर्ड के साथ आप -hexpass पैरामीटर के साथ restorepassword.py चला सकते हैं। यह पहले खाली पासवर्ड के साथ उसी DC पर प्रमाणीकरण करेगा और फिर पासवर्ड को मूल में वापस सेट करेगा। सुनिश्चित करें कि आप लक्ष्य के रूप में फिर से netbios नाम और IP प्रदान करें, उदाहरण के लिए:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc