搜索

[15933] 2020-10-06_ZeroLogon漏洞(CVE-2020-1472)防御性指南

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2020-10-06_ZeroLogon漏洞(CVE-2020-1472)防御性指南 Z e r o L o g o n 漏 洞 ( C V E - 2 0 2 0 - 1 4 7 2 ) 防 御 性 指 南 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 0 6 关 于 关 于 Z e r o l o g o n （ （ C V E - 2 0 2 0 - 1 4 7 2 ） ） 2 0 2 0 年 0 9 月 1 1 日 ， 安 全 研 究 专 家 T o m   T o m v v o r t 发 布 了 一 篇 安 全 博 文 ， 并 披 露 了 关 于 Z e r o l o g o n 漏 洞 的 详 细 信 息 。 随 后 ， 微 软 在 八 月 份 的 补 丁 日 也 发 布 了 针 对 C V E - 2 0 2 0 - 1 4 7 2 漏 洞 的 修 复 补 丁 。 根 据 研 究 人 员 的 描 述 ， 由 于 N e t l o g o n 的 加 密 实 现 中 存 在 安 全 问 题 ， 导 致 攻 击 者 可 以 通 过 利 用 该 漏 洞 来 劫 持 企 业 环 境 下 的 服 务 器 设 备 。 该 漏 洞 将 允 许 攻 击 者 为 活 动 目 录 域 控 制 器 的 计 算 机 账 号 设 置 密 码 ， 并 从 域 控 制 器 中 导 出 凭 证 数 据 。 针 对 该 漏 洞 的 原 理 及 技 术 已 经 有 很 多 研 究 人 员 分 析 过 了 ， 本 文 将 主 要 介 绍 针 对 Z e r o l o g o n 攻 击 的 安 全 防 御 相 关 的 内 容 。 执 行 攻 击 执 行 攻 击 虽 然 目 前 社 区 已 经 有 很 多 针 对 Z e r o l o g o n 漏 洞 的 利 用 工 具 了 ， 但 我 本 人 还 是 选 择 使 用 最 新 的 M i m i k a t z 版 本 。 首 先 ， 我 们 来 测 试 一 下 我 们 自 己 的 系 统 是 否 受 该 漏 洞 影 响 ： 接 下 来 ， 执 行 漏 洞 利 用 代 码 ：
此 时 ， 我 们 将 能 够 执 行 一 次 D C S y n c 攻 击 ， 并 从 目 标 域 控 制 器 中 导 出 敏 感 数 据 了 。 需 要 注 意 的 是 ， 这 种 攻 击 行 为 将 破 坏 域 控 制 器 的 功 能 完 整 性 ， 因 此 请 谨 慎 而 行 。 漏 洞 漏 洞 & 攻 击 检 测 攻 击 检 测 事 件 代 码 事 件 代 码 5 8 0 5 在 这 里 ， 事 件 5 8 0 5 会 在 Z e r o l o g o n 攻 击 执 行 时 生 成 ， 日 志 将 存 储 在 W i n d o w s 主 机 的 系 统 日 志 信 道 内 。 我 们 可 以 通 过 S p l u n k 查 询 来 找 到 这 种 类 型 的 活 动 日 志 ： 结 果 如 下 ： 虽 然 在 上 面 的 样 例 中 ， 计 算 机 名 称 被 设 置 成 了 m i m i k a t z ， 这 样 将 导 致 N E T L O G O N 无 法 通 过 域 控 制 器 验 证 ， 这 里 我 们 将 其 修 改 为 “ S e r v e r 2 ” 。 事 件 代 码 事 件 代 码 4 6 2 4 + 4 7 4 2 事 件 代 码 4 6 2 4 和 4 7 4 2 同 样 会 在 漏 洞 利 用 代 码 执 行 时 被 触 发 生 成 。 这 里 我 使 用 了 E V T X 样 本 来 执 行 下 列 查 询 ： 结 果 如 下 ： i n d e x = w i n l o g s   E v e n t C o d e = 5 8 0 5 |   t a b l e   b o d y , N a m e , d e s t i n d e x =     [ e v t x _ l o c a t i o n ]   E v e n t C o d e = 4 6 2 4   O R   E v e n t C o d e = 4 7 4 2 A c c o u n t _ N a m e = ” A N O N Y M O U S   L O G O N ” |   t a b l e   n a m e , M S A D C h a n g e d A t t r i b u t e s , S o u r c e _ N e t w o r k _ A d d r e s s , A c c o u n t _ N a m e
我 们 可 以 看 到 ， 域 控 制 器 计 算 机 账 号 的 密 码 已 经 被 修 改 了 ， 并 且 记 录 了 一 次 成 功 的 匿 名 登 录 行 为 。 S y s m o n 事 件 事 件 I D   3 针 对 Z e r o l o g o n 攻 击 的 另 一 种 检 测 技 术 利 用 了 S y s m o n   N e t w o r k C o n n e c t 事 件 和 其 强 大 R u l e 语 句 。 当 Z e r o l o g o n 事 件 发 生 时 ， 攻 击 设 备 的 网 络 连 接 将 传 入 目 标 域 控 制 器 的 L S A S S 进 程 ， 我 们 就 可 以 通 过 下 列 S y s m o n 配 置 代 码 来 监 控 这 种 类 型 的 活 动 了 ： S p l u n k 查 询 语 句 如 下 ： 结 果 如 下 ： 我 们 可 以 看 到 ， 主 机 1 9 2 . 1 6 8 . 1 . 4 3 就 是 我 们 的 攻 击 设 备 ， 它 向 1 9 2 . 1 6 8 . 1 . 1 5 6 （ 目 标 域 控 制 器 ） 的 L S A S S 进 程 建 立 了 网 络 连 接 。 M o l o c h 抓 包 抓 包 除 了 主 机 层 的 监 控 之 外 ， 我 们 还 可 以 通 过 抓 包 来 检 测 Z e r o l o g o n 攻 击 。 这 里 我 选 择 使 用 M o l o c h 抓 包 工 具 ， 这 种 检 测 逻 辑 同 样 可 以 扩 展 到 其 他 P C A P 系 统 。 如 果 我 们 分 析 攻 击 活 动 中 的 P C A P ， 我 们 可 以 看 到 客 户 端 凭 证 的 数 据 域 会 全 部 设 置 为 0 ： < R u l e   n a m e = “ I n c o m i n g   L S A S S   N e t w o r k C o n n e c t ”   g r o u p R e l a t i o n = “ a n d ” > < I m a g e   c o n d i t i o n = “ i m a g e ” > l s a s s . e x e < / I m a g e >         < I n i t i a t e d   c o n d i t i o n = “ i s ” > f a l s e < / I n i t i a t e d > < / R u l e > i n d e x = s y s m o n   R u l e N a m e = ” I n c o m i n g   L S A S S   N e t w o r k C o n n e c t ” |   t a b l e   P r o t o c o l , I n i t i a t e d , S o u r c e I p , D e s t i n a t i o n I p
我 们 可 以 使 用 M o l o c h 中 的 H u n t 功 能 来 查 找 我 们 P C A P 数 据 中 的 十 六 进 制 字 节 ， 这 里 可 以 通 过 “ p r o t o c o l s   = =   d c e r p c ” 查 询 来 查 看 R P C 协 议 流 量 ： 过 滤 掉 我 们 的 “ 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 f f f f 2 f 2 1 2 2 0 0 0 0 c 0 ” 字 节 ， 然 后 执 行 H u n t ， 我 们 可 以 看 到 这 里 有 七 个 会 话 匹 配 我 们 的 H u n t 逻 辑 ： 我 们 可 以 打 开 H u n t 来 查 看 数 据 ， 这 里 将 显 示 大 量 的 元 数 据 和 会 话 标 签 ， 其 中 包 含 H u n t 名 称 和 H u n t   I D ， 以 及 Z e r o l o g o n 攻 击 的 网 络 活 动 ： 总 结 总 结 Z e r o l o g o n 漏 洞 应 该 引 起 广 大 管 理 员 的 高 度 重 视 ， 任 何 受 影 响 的 系 统 都 应 该 尽 快 修 补 。 然 而 ， 由 于 补 丁 并 不 总 是 可 行 的 ， 本 文 旨 在 使 用 本 机 W i n d o w s 日 志 、 S y s m o n 和 P C A P 来 提 供 一 些 针 对 该 严 重 漏 洞 的 检 测 指 南 。
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理