CVE-2020-1472
CVE-2020-1472 - Zero Logon 취약점 Python 구현
설명
- Impacket 라이브러리를 사용하여 CVE-2020-1472 - Zerologon 취약점을 테스트하는 Python 스크립트입니다. (Secura 연구소 크레딧)
- 이 결함은 Windows 도메인 컨트롤러에서 사용 가능한 Netlogon 원격 프로토콜에서 비롯되며, 사용자 및 머신 인증 관련 다양한 작업에 사용됩니다.
- 구체적으로, Netlogon 세션을 위한 AES-CFB8 암호화 사용에 문제가 존재합니다. AES-CFB8 표준은 일반 텍스트의 각 "바이트"가 무작위 초기화 벡터(IV)를 가져야 하며, 이는 공격자가 비밀번호를 추측하는 것을 차단합니다. 그러나 Netlogon의 ComputeNetlogonCredential 함수는 IV를 무작위가 아닌 고정된 16비트로 설정하여 공격자가 해독된 텍스트를 제어할 수 있게 합니다.
- "AES 운영 모드의 잘못된 사용으로 인해 모든 컴퓨터 계정(도메인 컨트롤러 자체 포함)의 신원을 위장하고 해당 계정에 대해 도메인에서 빈 비밀번호를 설정하는 것이 가능합니다."라고 Secura 연구원들이 밝혔습니다.
- 이 스크립트는 Netlogon 인증 우회를 시도합니다. 우회에 성공하면 스크립트가 종료됩니다.
- 도메인 컨트롤러가 패치된 경우, 스크립트는 2000쌍의 RPC 호출을 보낸 후 중지됩니다 (대상이 취약하지 않으며, 거짓 음성 확률 0.04%).
- 기본적으로 이는 도메인 컨트롤러 계정의 비밀번호를 변경합니다. 이로 인해 DCSync가 가능해지지만, 다른 DC와의 통신도 중단됩니다.
- 추가 정보 및 원본 연구는 여기에서 확인하세요.
사전 요구 사항
또는 Impacket 릴리스를 여기에서 다운로드하세요. 압축을 풀고, 해당 디렉터리에서 다음을 실행하세요:
사용법
IP 주소가 X.X.X.X인 DC-NAME이라는 도메인 컨트롤러가 주어지면 다음과 같이 스크립트를 실행합니다:
python cve-2020-1472.py DC-NAME X.X.X.X
DC 이름은 NetBIOS 컴퓨터 이름입니다. 이 이름이 올바르지 않으면 스크립트가 STATUS_INVALID_COMPUTER_NAME 오류와 함께 실패합니다.
canciucostin/cve-2020-1472
