CVE-2020-1472 別名 Zerologon Exploit POC
それは何ですか？
NetLogon (MS-NRPC) は、脆弱なセキュリティチャネルを介したドメイン間制御を確立できます。
ドメインコントローラ上のマシンアカウントのパスワードを空にすることが可能です。
注意点：
- パスワードがゼロにされている間、DCは半ば壊れた状態になりますが、このプログラムは終了時にパスワードを元に戻します
- DCでDNSの問題を引き起こす可能性があります（再起動で修正）
- Kerberos チケットの有効期限は10時間です
- netlogon構造体が追加された最新のimpacketを GitHub から入手する必要があります
- デフォルトでは、ドメインコントローラのシステムアカウントのパスワードを変更し、その後元に戻すことに注意してください。これによりDCSyncが可能になりますが、短時間で他のドメインコントローラとの通信が途絶えるため、注意して使用してください！
研究情報：
必須の依存関係
- netlogon構造体が追加された最新のimpacketを GitHub から入手する必要があります
脆弱性の確認：
- スクリプトのデフォルト動作は脆弱性を確認するだけで、何も変更しません！
zerologon.py の使用方法
- 上記のブログ/ホワイトペーパーを読んで、自分が何をしているのかを理解してください
- このスクリプトはCVE-2020-1472のドメインコントローラをチェックします
- -exploit オプションを指定した場合、次の処理が行われます：
- ドメインコントローラのシステムパスワードをゼロにします
- secretsdumpのDRSUAPIをゼロパスワードで呼び出してntdsハッシュを取得します
- ダンプデータを解析し、RID :500: のドメイン管理者アカウントを取得し、secretsdumpを再度呼び出してlsaシークレットを取得します
- 2回目のダンプから plain_password_hex の値を解析します
- 復元スクリプトをhex値で呼び出し、DCのシステムパスワードを元の値に戻します
python zerologon.py
usage: zerologon.py [-h] [-exploit] dc_name dc_ip
Tests whether a domain controller is vulnerable to the Zerologon attack. Resets the DC account password to an empty string
when vulnerable.
positional arguments:
dc_name The (NetBIOS) computer name of the domain controller.
dc_ip IP Address of the domain controller.
optional arguments:
-h, --help show this help message and exit
-exploit Zero out the computer's hash
検出方法：
- イベント4661：SetPassword（古いパスワードを知らずに）の権限要求（スクリーンショット添付）
- イベント4723：アカウントのパスワード変更試行
- イベント4738：Password Last Set値が変更されたユーザーアカウント
パッチ適用：
影響を受けるシステム：
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core インストール)
- Windows Server 2012
- Windows Server 2012 (Server Core インストール)
- Windows Server 2012 R2
- Windows Server 2012 R2 (Server Core インストール)
- Windows Server 2016
- Windows Server 2016 (Server Core インストール)
- Windows Server 2019
- Windows Server 2019 (Server Core インストール)
- Windows Server, version 1903 (Server Core インストール)
- Windows Server, version 1909 (Server Core インストール)
- Windows Server, version 2004 (Server Core インストール)
sho-luv/zerologon
