CVE-2020-1472 POC

Requer o impacket mais recente do GitHub com as estruturas netlogon adicionadas.

Observe que, por padrão, isso altera a senha da conta do controlador de domínio. Sim, isso permite que você faça DCSync, mas também interrompe a comunicação com outros controladores de domínio, então tenha cuidado!

Mais informações e pesquisa original aqui

Instalação

Funciona apenas em Python 3.6 ou superior! Se o seu sistema operacional já vem com impacket instalado (como o Kali), certifique-se de remover todas as instalações existentes primeiro. Se você ainda tiver erros de importação depois disso, execute-o a partir de um virtualenv ou pipenv.

Passos do exploit

• Leia o blog/whitepaper acima para saber o que está fazendo
• Execute cve-2020-1472-exploit.py com o IP e o nome netbios do DC
• Faça DCSync com o secretsdump, usando -just-dc e -no-pass ou hashes vazios e a conta DCHOSTNAME$

Passos de restauração

Se você instalar uma versão do impacket do GitHub atualizada em ou após 15 de setembro de 2020, o secretsdump despejará automaticamente a senha da máquina em texto puro (codificada em hexadecimal) ao despejar os segredos do registro local. Observe que isso é diferente do DCSync, pois o DCSync usa a conta da máquina, enquanto despejar o registro exige que você execute o secretsdump contra o controlador de domínio como um Administrador de Domínio (como a conta Administrator integrada).

Alternativamente, em versões um pouco mais antigas do secretsdump, você pode despejar essa mesma senha extraindo primeiro os hives do registro e depois executando o secretsdump offline (ele sempre imprimirá a chave em texto puro, pois não consegue calcular os hashes Kerberos).

Com essa senha em texto puro, você pode executar restorepassword.py com o parâmetro -hexpass. Isso primeiro autenticará com a senha vazia no mesmo DC e depois definirá a senha de volta para a original. Certifique-se de fornecer novamente o nome netbios e o IP como alvo, por exemplo:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc