CVE-2020-1472 POC

Требуется последняя версия impacket из GitHub с добавленными структурами netlogon.

Обратите внимание, что по умолчанию это изменяет пароль учетной записи контроллера домена. Да, это позволяет вам выполнять DCSync, но также нарушает связь с другими контроллерами домена, так что будьте осторожны с этим!

Дополнительная информация и оригинальное исследование здесь

Установка

Работает только на Python 3.6 и новее! Если в вашей ОС уже установлен impacket (например, в Kali), обязательно удалите все существующие установки. Если после этого вы все еще получаете ошибки импорта, запускайте из virtualenv или pipenv.

Шаги эксплуатации

• Прочитайте блог/документ выше, чтобы понимать, что вы делаете
• Запустите cve-2020-1472-exploit.py с IP и сетевым именем (NetBIOS) контроллера домена
• Выполните DCSync с secretsdump, используя -just-dc и -no-pass или пустые хэши и учетную запись DCHOSTNAME$

Шаги восстановления

Если вы установите версию impacket из GitHub, обновленную 15 сентября 2020 года или позже, secretsdump автоматически извлечет пароль машины в открытом виде (в шестнадцатеричной кодировке) при извлечении секретов из локального реестра. Обратите внимание, что это отличается от DCSync, так как DCSync использует учетную запись компьютера, тогда как извлечение реестра требует запуска secretsdump против контроллера домена с правами администратора домена (например, встроенной учетной записи администратора).

В качестве альтернативы, в немного более старых версиях secretsdump вы можете извлечь этот же пароль, сначала сохранив кусты реестра, а затем запустив secretsdump в автономном режиме (в этом случае он всегда будет выводить ключ в открытом виде, так как не сможет вычислить хэши Kerberos).

С этим паролем в открытом виде вы можете запустить restorepassword.py с параметром -hexpass. Сначала он выполнит аутентификацию с пустым паролем на том же контроллере домена, а затем установит пароль обратно на оригинальный. Убедитесь, что вы снова указываете сетевое имя (NetBIOS) и IP в качестве цели, например:

python restorepassword.py testsegment/s2016dc@s2016dc -target-ip 192.168.222.113 -hexpass e6ad4c4f64e71cf8c8020aa44bbd70ee711b8dce2adecd7e0d7fd1d76d70a848c987450c5be97b230bd144f3c3...etc