ecp_slap

Эта концептуальная проверка для CVE-2020-0688 включает функции для сканирования и эксплуатации уязвимого локального экземпляра Exchange.

Использование

scan — укажите учетные данные и информацию о цели для получения файлов cookie, необходимых для эксплуатации, и сохраняет их в 'cookies.txt'. Также проверяет доступность службы панели управления Exchange (ECP) для целевого сервера Exchange, пытается аутентифицироваться в этой службе и проверяет совпадение соответствующего значения VIEWSTATEGENERATOR. Если аутентификация успешна, будет выведено значение сессионного cookie для создания сериализованной полезной нагрузки.

generate — укажите значение сессионного cookie, полученное из функции 'scan', а также команду для выполнения кода. Это отформатирует ваш ввод для ysoserial.net для генерации сериализованной полезной нагрузки для выполнения кода. Сохраните вывод ysoserial в файл, например 'payload.txt'.

exploit — принимает ввод вашего файла cookies, полученного при использовании функции 'scan' с успешной аутентификацией, и URL-кодирует содержимое вашего файла полезной нагрузки. Эксплойт выполняет соответствующий аутентифицированный запрос для запуска выполнения кода на уязвимых локальных экземплярах Exchange.

$./ecp_slap
scan - Scan an Exchange host and obtain cookies needed for exploitation:
./ecp_slap scan -t 10.1.1.5 -d corp.local -u admin -p badpassword 
./ecp_slap scan -t mail.corp.com -d CORP -u admin -p badpassword 

generate - Generate the ysoserial.net command for payload creation:
./ecp_slap generate -s [ASP.NET_SessionId] -c [COMMAND]
./ecp_slap generate -s 81c35474-6a73-4a1c-af45-b3985e7d7ad1 -c "echo test > C:/temp/test.txt"

exploit - Exploitation of a vulnerable Exchange server:
./ecp_slap exploit -t 192.168.5.22 -c cookies.txt -p payload.txt
./ecp_slap exploit -t mail.corp.com -c cookies.txt -p payload.txt

Примечания к эксплуатации

Если вы проверили, что версия локального Exchange, которую вы пытаетесь эксплуатировать:

1. имеет открытую аутентификацию ECP с точки зрения внутренней или внешней сети, с которой вы тестируете
2. разрешает ваши учетные данные для доступа к EPC конкретно (https://mail.corp.com/ecp)
3. имеет номер сборки, который является уязвимым

но вы все еще не можете проверить успешное выполнение кода, подумайте о выполнении простых команд для оценки, работает ли выполнение кода, например:

• HTTP GET-запрос к вашей машине с помощью lolbin
• DNS-запрос с помощью 'nslookup' к авторитетному DNS-серверу, которым вы владеете
• ping и мониторинг ICMP

Ручная проверка и эксплуатация уязвимости

Начните с рекомендации MSRC по безопасности, которая будет содержать подробности об исправлениях и уязвимых версиях локального Exchange. Сопоставление исправлений с номерами сборок Exchange от Microsoft поможет определить уязвимость. Чтобы вручную воспроизвести эксплуатацию этой уязвимости, следуйте невероятной статье ZDI.

Настройка и компиляция GoLang

Если вы решите скомпилировать этот проект из исходного кода, вместо того чтобы скачать скомпилированный релиз, настройка вашей среды Go часто так же проста, как установка GoLang и установка соответствующей переменной окружения. Шаги для этого описаны здесь.

Список задач

• scan — добавить функциональность для учета аутентифицированного номера сборки Exchange
• scan & exploit — учесть потенциальный NTLMSSP при нестандартной аутентификации локального Exchange
  • код написан, необходимо добавить логику для проверки и аутентификации по-другому в этом случае

Благодарности

• Simon Zuckerbraun / ZDI — за отличную статью, объясняющую, как работает этот эксплойт и насколько легкой может быть практическая эксплуатация
• actuated — за устранение неполадок, мозговой штурм и ответы на вопросы во время написания скрипта