whoami-chmod777/zerologon-attack-cve-2020-1472-pocCVE-2020-1472 (Zerologon) 취약점을 악용하는 Python 익스플로잇으로, 도메인 컨트롤러의 컴퓨터 계정 비밀번호를 변경하여 DCSync 및 전체 도메인 장악을 가능하게 합니다. 비밀번호를 되돌리기 위한 복원 스크립트를 포함합니다.
최신 impacket이 필요합니다. GitHub에서 netlogon 구조체가 추가된 버전을 받으세요.
기본적으로 이 도구는 도메인 컨트롤러 계정의 비밀번호를 변경합니다. 물론 DCSync를 수행할 수 있지만, 다른 도메인 컨트롤러와의 통신을 끊어버리므로 주의하세요!
자세한 정보와 원본 연구는 여기에서 확인하세요.
Python 3.6 이상에서만 작동합니다! OS에 impacket이 이미 설치된 경우 (예: Kali), 먼저 기존 설치를 모두 제거하세요. 이후에도 import 오류가 발생하면 virtualenv 또는 pipenv에서 실행하세요.
cve-2020-1472-exploit.py를 실행하세요secretsdump로 DCSync를 수행하세요. -just-dc, -no-pass 옵션 또는 빈 해시와 DCHOSTNAME$ 계정을 사용하세요.2020년 9월 15일 이후에 업데이트된 GitHub의 impacket 버전을 설치하면, secretsdump가 로컬 레지스트리 시크릿을 덤프할 때 자동으로 일반 텍스트 머신 비밀번호(hex 인코딩)를 덤프합니다. 이는 DCSync와 다릅니다. DCSync는 머신 계정을 사용하는 반면, 레지스트리 덤프는 도메인 관리자(예: 기본 제공 Administrator 계정)로 secretsdump를 도메인 컨트롤러에 대해 실행해야 합니다.
또는 약간 오래된 버전의 secretsdump에서는 먼저 레지스트리 하이브를 추출한 후 secretsdump를 오프라인으로 실행하여 동일한 비밀번호를 덤프할 수 있습니다 (그러면 Kerberos 해시를 계산할 수 없기 때문에 항상 일반 텍스트 키를 출력합니다).
이 일반 텍스트 비밀번호로 restorepassword.py를 -hexpass 매개변수와 함께 실행할 수 있습니다. 그러면 먼저 빈 비밀번호로 동일한 DC에 인증한 후 비밀번호를 원래대로 복원합니다. 대상으로 netbios 이름과 IP를 다시 지정해야 합니다. 예를 들어:
python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc