Estrutura e Configuração do Artefato

O artefato consiste em um projeto Python poetry para o scanner e os exploits.

Para executar os scripts fornecidos com o artefato, instale Python (3.12 ou posterior) e poetry (instruções) ou uv (instruções). Para simplificar, listamos os comandos assumindo que você está usando poetry; se preferir usar uv, basta substituir qualquer menção a poetry por uv.

Todos os comandos neste documento devem ser executados no diretório raiz do artefato (onde este README está).

Se estiver usando poetry, execute poetry install para instalar todas as dependências.

Configurando um Ambiente de Teste

Para reproduzir os resultados do artigo, você pode configurar um controlador de domínio usando uma versão do Windows Server com a correção do Zerologon (verificamos o exploit tanto nas versões 2019 quanto 2025).

Para configurar o controlador de domínio em uma nova instalação do Windows Server 2025, execute os seguintes comandos:

A vulnerabilidade se aplica a qualquer conta listada na DACL do objeto de Política de Grupo Domain Controller: Allow vulnerable Netlogon secure channel connections ou na chave de registro correspondente:
HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\VulnerableChannelAllowList

Você pode configurar esses parâmetros manualmente no controlador de domínio (lembre-se de executar gpupdate /force se você atualizar a entrada da GPO) ou executar o seguinte comando para adicionar todas as contas à DACL na chave de registro:

Verificando Configurações Vulneráveis

Para determinar quais contas um controlador de domínio lista em sua VulnerableChannelAllowList, fornecemos um scanner que analisa o hive do registro e o compartilhamento de volume da GPO do controlador de domínio. Observe que acessar o registro para esta verificação exige privilégios de Administrador de Domínio (o exploit, obviamente, não exige).

Um resultado positivo da verificação (há contas vulneráveis no controlador de domínio) refletirá o descritor de segurança contendo as contas vulneráveis (na Security Descriptor Definition Language da Microsoft):

Um resultado negativo (o DC alvo não está vulnerável) terá a seguinte aparência:

Exploração

Para executar o exploit de prova de conceito contra um controlador de domínio alvo, selecione primeiro uma conta vulnerável. Você precisará do endereço IP do controlador de domínio, do nome do host e do nome da conta vulnerável.

Em nosso ambiente de exemplo, o controlador de domínio vulnerável se chama DC. Sua conta de máquina (DC$) está incluída na política da GPO e, portanto, é vulnerável ao Onelogon.

Reproduzindo as Medições

Para reproduzir as medições da Tabela 1 do artigo, execute todos os quatro exploits descritos na seção anterior.

Você pode obter o tempo de ataque esperado sem concluir o ataque completo, o que seria proibitivamente caro para as abordagens ingênuas.

A velocidade da força bruta de 32 bits que aguarda o timeout é limitada pelo período de validade dos desafios do cliente. Um ciclo completo (no qual 100 mil desafios podem ser processados) leva então 120s (o timeout para a lista de desafios ser limpa). Portanto, o tempo de ataque esperado é sempre $\frac{2^{31}}{100000}\cdot 120\mathrm{s} \approx 29.83\mathrm{d}$.

Para ataques que usam uma conta de computador (tanto o ataque de 32 bits quanto o de 24 bits), use o tempo médio por tentativa $t$ da seção TOTAL STATS da saída. O ataque de 32 bits precisa, em média, de $2^{31}$ tentativas (para um tempo total esperado de $2^{31}t$). Da mesma forma, a duração esperada do ataque de 24 bits é $2^{23}t$.

Para a abordagem de meet-in-the-middle, não podemos tentar todas as credenciais de cliente possíveis dentro do prazo de expiração de 120 segundos dos desafios. Em vez disso, o tempo esperado para o ataque é determinado por quantas tentativas de autenticação conseguimos realizar nesse intervalo de tempo. Para obter esse número, use a média de tentativas por ciclo $a$ da seção TOTAL STATS da saída. Como precisamos, em média, de $2^{15}$ tentativas de autenticação para obter uma taxa de sucesso de 50%, o tempo de ataque esperado é simplesmente $2^{15} \cdot a^{-1} \cdot 120\mathrm{s}$

Os tempos exatos obtidos dependerão da configuração exata de hardware e software.