CVE-2020-1472

CVE-2020-1472(일명 Zerologon)용 검사기 및 익스플로잇 코드

도메인 컨트롤러가 Zerologon 공격에 취약한지 테스트합니다. 취약한 경우 도메인 컨트롤러의 계정 암호를 빈 문자열로 재설정합니다.

참고: 프로덕션 환경에서 문제를 일으킬 수 있습니다(예: DNS 기능, 복제 도메인 컨트롤러와의 통신 등). 대상 클라이언트는 더 이상 도메인에 인증할 수 없으며, 수동 작업을 통해서만 재동기화할 수 있습니다.

Zerologon의 원본 연구 및 백서: Secura(Tom Tervoort) - https://www.secura.com/blog/zero-logon

https://user-images.githubusercontent.com/104816473/235369201-16c1eabd-4706-4589-bd31-de13fc414f86.mp4

익스플로잇

Netlogon 인증 우회를 시도합니다. 도메인 컨트롤러가 패치된 경우, 탐지 스크립트는 2000쌍의 RPC 호출을 전송한 후 포기하며, 대상이 취약하지 않다고 결론내립니다(위음성 확률 0.04%).

익스플로잇은 도메인 컨트롤러가 로컬에 저장된 암호 대신 Active Directory에 저장된 암호를 사용하여 로그인 시도를 검증하는 경우에만 성공합니다. 이러한 방식으로 암호를 변경하면 AD에서만 변경되기 때문입니다. 대상 시스템 자체는 여전히 로컬에 원래 암호를 저장합니다.

설치

1. 다음과 같이 설치합니다:

1. git clone https://github.com/SecureAuthCorp/impacket
2. cd impacket
3. pwd ~/impacket/
4. virtualenv --python=python3 impacket
5. source impacket/bin/activate
6. pip install --upgrade pip
7. pip install

2. Zerologon 익스플로잇 스크립트를 다음과 같이 설치합니다: