CVE-2020-1472 POC

Richiede l'ultima versione di impacket da GitHub con le strutture netlogon aggiunte.

Nota: di default questo script modifica la password dell'account del domain controller. Sì, questo consente di eseguire DCSync, ma interrompe anche la comunicazione con gli altri domain controller, quindi usalo con cautela!

Maggiori informazioni e ricerca originale qui

Fasi dell'exploit

• Leggi il blog/whitepaper sopra per sapere cosa stai facendo
• Esegui cve-2020-1472-exploit.py con l'IP e il nome netbios del DC
• Esegui DCSync con secretsdump, usando -just-dc e -no-pass oppure hash vuoti e l'account DCHOSTNAME$

Fasi di ripristino

Se installi una versione di impacket da GitHub aggiornata al 15 settembre 2020 o successivamente, secretsdump estrarrà automaticamente la password macchina in chiaro (codificata in hex) quando scarica i segreti del registro locale.

In alternativa, su versioni leggermente più vecchie puoi estrarre la stessa password prima esportando gli hive del registro e poi eseguendo secretsdump offline (in questo caso stamperà sempre la chiave in chiaro perché non può calcolare gli hash Kerberos).

Con questa password puoi eseguire restorepassword.py con il parametro -hexpass. Questo autenticherà prima con la password vuota allo stesso DC e poi reimposterà la password a quella originale. Assicurati di fornire nuovamente il nome netbios e l'IP come target, ad esempio:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc