CVE-2020-1472 POC

इसके लिए GitHub से नवीनतम impacket की आवश्यकता है, जिसमें netlogon संरचनाएँ जोड़ी गई हों।

ध्यान दें कि डिफ़ॉल्ट रूप से यह डोमेन कंट्रोलर खाते का पासवर्ड बदल देता है। हाँ, यह आपको DCSync करने की अनुमति देता है, लेकिन यह अन्य डोमेन कंट्रोलरों के साथ संचार भी तोड़ देता है, इसलिए इससे सावधान रहें!

अधिक जानकारी और मूल शोध यहाँ पढ़ें।

Exploit के चरण

• ऊपर दिया गया ब्लॉग/व्हाइटपेपर पढ़ें ताकि आपको पता चले कि आप क्या कर रहे हैं
• DC का IP और netbios नाम देकर cve-2020-1472-exploit.py चलाएँ
• secretsdump के साथ DCSync करें, -just-dc और -no-pass या खाली हैश और DCHOSTNAME$ खाते का उपयोग करके

Restore के चरण

यदि आप GitHub से impacket का ऐसा संस्करण इंस्टॉल करते हैं जिसे 15 सितंबर 2020 को या उसके बाद अपडेट किया गया था, तो secretsdump स्थानीय रजिस्ट्री सीक्रेट्स को डंप करते समय स्वचालित रूप से प्लेनटेक्स्ट मशीन पासवर्ड (hex एन्कोडेड) डंप कर देगा।

वैकल्पिक रूप से, थोड़े पुराने संस्करणों पर आप यही पासवर्ड पहले रजिस्ट्री hives को निकालकर और फिर secretsdump को ऑफ़लाइन चलाकर डंप कर सकते हैं (यह तब हमेशा प्लेनटेक्स्ट कुंजी प्रिंट करेगा क्योंकि यह Kerberos हैश की गणना नहीं कर सकता)।

इस पासवर्ड के साथ आप -hexpass पैरामीटर के साथ restorepassword.py चला सकते हैं। यह पहले उसी DC पर खाली पासवर्ड के साथ प्रमाणित होगा और फिर पासवर्ड को मूल पासवर्ड पर वापस सेट कर देगा। सुनिश्चित करें कि आप लक्ष्य के रूप में फिर से netbios नाम और IP प्रदान करते हैं, उदाहरण के लिए:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc