CVE-2020-0665 - Bypass del Filtro SID

Proof of Concept per CVE-2020-0665, che permette di bypassare il filtraggio SID nelle foreste di Active Directory (Attacco Cross Forest).

Requisiti per l'attacco

• La macchina del Domain Controller di destinazione non deve essere stata aggiornata dopo febbraio 2020.
• Aver precedentemente compromesso un Domain Controller della foresta fiduciaria (questo attacco richiede privilegi elevati, come utente SYSTEM).
• Una relazione di Trust Transitivo Bidirezionale stabilita con la foresta fiduciaria.
• python2.7 installato nel DC compromesso, insieme alla libreria frida (pip2 install frida) nella foresta fiduciaria del DC compromesso. P.S.: Non l'ho testato con python3, forse funziona lo stesso?
• Un dominio figlio nel dominio compromesso e il suo SID, che chiameremo "child SID". Ad esempio, se abbiamo compromesso un dominio contoso.local abbiamo bisogno di un dominio figlio child.contoso.local.
• Una workstation nel dominio esterno e il suo SID, che chiameremo "local SID". Ad esempio, se abbiamo un dominio esterno test.local (che ha un Trust Transitivo Bidirezionale con il nostro dominio compromesso contoso.local), abbiamo bisogno di una workstation come SQL.test.local, DEV.test.local, MSSQL01.test.local, ecc. Se usiamo DC come workstation l'attacco non funzionerà.
• Un processo da hookare. Consigliato: lsass.exe.
• Pazienza: Per attivare l'attacco, il Domain Controller deve eseguire la chiamata NetLogon NetrGetForestTrustInformation. Questo accade ogni 24 ore, quindi abbi pazienza.

Utilizzo

Passa il child SID e il local SID (workstation) allo script. Utilizza parte dello script frida_intercept.py per intercettare e hookare un processo tramite nome o PID. Ricorda che questo script è stato testato con python2.7, ma potrebbe funzionare anche con python3 (entrambi richiedono che la libreria frida sia installata nel rispettivo software):

In una shell come nt authority/system in un Domain Controller compromesso, esegui:

python .\CVE-2020-0665.py --process <process to hook> --child-sid <Child SID> --local-sid <local SID>

Ad esempio:

python .\CVE-2020-0665.py --child-sid S-1-5-21-3878752286-62540090-653003637 --local-sid  S-1-5-21-2327345182-1863223493-3435513819 -p lsass.exe -v

Questo cambierà il SID target della Workstation (S-1-5-21-2327345182-1863223493-3435513819) con un SID di un dominio figlio nella nostra foresta Active Directory attuale sotto il nostro controllo (S-1-5-21-3878752286-62540090-653003637).

[!WARNING] Questo cambierà il SID della Workstation vittima. Prova a salvare tutti i valori SID prima di eseguire questo attacco per ripristinarli in seguito.

Extra

Per maggiori informazioni su questo attacco, dai un'occhiata a questo blog che spiega come proseguire con l'attacco (forgiare un Golden Ticket tramite un ExtraSid Attack, per esempio).

Per scopi etici. Sii sempre etico (: