搜索

[27107] 2020-11-18_CVE-2020-1472漏洞实战深度剖析

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-19
2020-11-18_CVE-2020-1472漏洞实战深度剖析 C V E - 2 0 2 0 - 1 4 7 2 漏 洞 实 战   深 度 剖 析 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 1 1 - 1 8 本 文 作 者 ： 本 文 作 者 ： F a i t h （ M s 0 8 0 6 7 实 验 室   内 网 安 全 攻 防 知 识 星 球 ） 0 x 0 0 漏 洞 说 明 漏 洞 说 明 C V E - 2 0 2 0 - 1 4 7 2 是 继 M S 1 7 0 1 0 之 后 一 个 比 较 好 用 的 内 网 提 权 漏 洞 ， 影 响 W i n d o w s   S e r v e r   2 0 0 8 R   2 至 W i n d o w s   S e r v e r   2 0 1 9 的 多 个 版 本 系 统 ， 只 要 攻 击 者 能 访 问 到 目 标 域 控 井 且 知 道 域 控 计 算 机 名 即 可 利 用 该 漏 洞 . 该 漏 洞 不 要 求 当 前 计 算 机 在 域 内 ， 也 不 要 求 当 前 计 算 机 操 作 系 统 为 w i n d o w s ， 该 漏 洞 的 稳 定 利 用 方 式 为 重 置 目 标 域 控 的 密 码 ，   然 后 利 用 城 控 凭 证 进 行 D c   s y n c 获 取 域 管 权 限 后 修 复 域 控 密 码 ， 之 所 以 不 直 接 使 用 坏 控 凭 证 远 程 执 行 命 令 ， 是 因 为 城 控 账 户 是 不 可 以 登 录 的 ， 但 是 域 控 具 备 D c s y n c 权 限 ，   可 以 获 取 域 内 任 意 用 户 的 凭 证 。 漏 洞 利 用 过 程 中 会 重 置 域 控 存 储 在 域 中 ( n t d s . d i t ) 的 凭 证 ， 而 域 控 存 储 在 域 中 的 凭 证 与 本 地 的 注 册 表 / l s a s s 中 的 凭 证 不 一 致 时 ， 会 导 致 目 标 域 控 脱 域 ， 所 以 在 重 置 完 域 控 凭 证 后 要 尽 快 恢 复 。 0 x 0 1 利 用 过 程 利 用 过 程 0 x 0 1 a   m i m i k a t z 利 用 过 程 利 用 过 程 测 试 环 境 ： 工 具 地 址 ： 测 试 步 骤 如 下 ： 1 .   检 测 是 否 存 在 C V E - 2 0 2 0 - 1 4 7 2 漏 洞 域 控 ：     域 名 ： A D C 1 . A . c o m     I P ： 1 9 2 . 1 6 8 . 2 7 . 1 5 0     操 作 系 统 ： W i n d o w s   S e r v e r   2 0 1 2 R   2 攻 击 机 ：     不 在 域 内 ：     I P ： 1 9 2 . 1 6 8 . 2 7 . 1 2 9 ( 没 要 求 ， 能 访 问 到 目 标 域 控 即 可 )     操 作 系 统 ： W i n d o w s   7 h t t p s ： / / g i t h u b . c o m / g e n t i 1 k i w i / m i m i k a t z h t t p s ： / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t
2 . 利 用 C V E - 2 0 2 0 - 1 4 7 2 修 改 域 控 密 码 为 空 3 . 利 用 域 控 凭 证 通 过 d c s y n c 获 取 域 管 h a s h 。
4 . 利 用 获 取 的 域 管 凭 证 进 行 h a s h 注 入 获 取 一 个 域 管 权 限 的 c m d . e x e 。 这 里 的 “ d o m a i n : . ” 也 可 以 是   “ d o m a i n : A " 5 . 在 新 开 的 c m d 中 使 用 m i m i k a t z 修 改 域 控 密 码 。 m i m i k a t z 会 将 保 存 在 域 中 的 凭 证 以 及 注 册 表 / l s a s s 中 的 凭 证 同 时 修 改 为 " W a z a 1 2 3 4 / W a z a 1 2 3 4 / W a z a 1 2 3 4 / " ， 这 样 不 影 响 域 控 的 正 常 工 作 。 0 x 0 1 b   z e r o l o g o n 利 用 过 程 利 用 过 程 测 试 环 境 ： 下 载 地 址 ： 域 控 ：     域 名 ： A D C 1 . A . c o m     I P ： 1 9 2 . 1 6 8 . 2 7 . 1 5 0     操 作 系 统 ： W i n d o w s   S e r v e r   2 0 1 2 R   2 攻 击 机 ：     不 在 域 内 ：     I P ： 1 9 2 . 1 6 8 . 2 7 . 1 3 0 ( 没 要 求 ， 能 访 问 到 目 标 域 控 即 可 )     操 作 系 统 ： W i n d o w s   1 0 h t t p s ： / / g i t h u b . c o m / S e c u r a B V / C V E - 2 0 2 0 - 1 4 7 2 h t t p s ： / / g i t h u b . c o m / r i s k s e n s e / z e r o l o g o n h t t p s ： / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t
测 试 步 骤 如 下 ： 1 . 检 测 漏 洞 是 否 存 在 2 . 修 改 域 控 密 码 为 空 3 . 使 用 i m p a c k e t 中 的 s e c r e t d u m p 获 取 域 管 h a s h ， 这 里 的 “ . / A D C 1 ” 也 可 以 是 “ A / A D C 1 ” , 也 就 是 说 我 们   不 需 要 知 道 目 标 域 名 即 可 获 取 到 域 管 h a s h 。 4 . 可 以 破 解 出 域 管 密 码 ， 使 用 n e t 结 合 w m i c 、 s c h t a s k s 等 远 程 执 行 命 令 方 法 离 线 获 取 保 存 在 注 册 表 中   的 域 控 凭 证 ， 也 可 以 使 用 i m a p c k e t 中 的 远 程 执 行 工 具 通 过 h a s h 传 递 获 取 。 当 然 也 可 以 通 过   m i m i k a t z 在 域 控 上 直 接 获 取 ， 注 意 这 一 步 一 定 要 尽 量 快 。
5 . 使 用 i m p a c k e t 中 的 s e c r e t s d u m p 拿 到 域 控 机 器 账 户 原 始 哈 希 。 之 前 已 经 用 m i m i k a t z 测 试 过 一 次 ， 所 以 域 控 账 户 的 h a s h 为 " W a z a 1 2 3 4 / W a z a 1 2 3 4 / W a z a 1 2 3 4 / " 的 h a s h 。 6 .   将 d c 机 器 用 户 密 码 恢 复 。
0 x 0 1 c   利 用 方 式 对 比 利 用 方 式 对 比 1 . m i m i k a t z 使 用 起 来 比 z e r o l o g o n 方 便 快 捷 ， 极 大 的 缩 短 了 域 控 凭 证 恢 复 时 间 ， 减 小 对 业 务 的 影 响 以   及 被 发 现 的 可 能 。 2 . m i m i k a t z 利 用 过 程 中 第 三 步 d c s y n c 需 要 域 名 等 信 息 ， 且 需 要 当 前 计 算 机 可 以 解 析 域 控 的 I P 。 当 前 计 算 机 在 域 内 时 使 用 这 种 方 式 比 较 便 捷 。 建 议 使 用 z e r o l o g o n 利 用 过 程 的 第 三 步 进 行 替 换 。 3 . m i m i k a t z 利 用 过 程 中 第 四 步 h a s h 注 入 需 要 具 有 S e D e b u g P r i v i l e g e 权 限 。 4 . m i m i k a t z 利 用 过 程 中 第 四 步 h a s h 注 入 在 w i n 1 0 环 境 下 需 要 绕 过 L S A   P r o t e c t i o n ， 该 功 能 需 要   m i m i d r v . s y s 文 件 ， 未 绕 过 L S A P r o t e c t i o n 时 报 错 为 。 使 用 m i m i k a t z 绕 过 L S A   P r o t e c t i o n 的 命 令 为 ： 0 x 0 2   寻 找 域 控 寻 找 域 控 1 . 利 用 n b t s c a n 扫 描 识 别 ， 标 注 S H A R I N G   D C 即 为 域 控 。 2 . 扫 描 存 活 主 机 的 3 8 9 端 口 、 8 8 端 口 是 否 开 放 。 3 8 9 端 口 运 行 着 L D A P 服 务 ， 8 8 端 口 运 行 着 K e r b e r o s   服 务 ， 开 放 这 两 个 端 口 的 p r i v i l e g e : : d e b u g ! + ! p r o c e s s p r o t e c t   / p r o c e s s : l s a s s . e x e   / r e m o v e
计 算 机 大 概 率 为 域 控 。 3 . 如 果 是 拨 V P N 进 入 内 网 ， 可 以   i p c o n f i g   / a l l   查 看 D N S 服 务 器 ， D N S 可 能 是 域 控 。 4 . 如 果 当 前 在 域 内 ， 可 以 通 过 命 令 查 询 域 控 。 参 考 如 下 命 令 ： 5 . 如 果 以 上 方 式 都 无 法 定 位 到 域 控 ， 尝 试 获 取 域 内 计 算 机 权 限 后 ， 查 询 域 控 信 息 。 0 x 0 3   获 取 域 控 计 算 机 名 获 取 域 控 计 算 机 名 1 . 利 用 n b a t s c a n 扫 描 识 别 。 2 . 利 用 s m b 嗅 探 目 标 域 控 的 计 算 机 名 。 3 . 利 用 3 3 8 9 获 取 相 关 信 息 。 查 看 3 3 8 9 的 证 书 信 息 ， 或 者 用 0 3 版 m s t s c 不 输 凭 证 进 入 后 “ 切 换 用 户 ” 找 到   计 算 机 名 ， 特 定 情 况 下 可 用 。 4 . 尝 试 利 用 D N S 解 析 ， 可 能 不 准 确 。 5 . 如 果 当 前 在 域 内 ， 可 以 通 过 命 令 查 询 域 控 。 6 . 如 果 以 上 方 式 都 无 法 定 位 到 域 控 ， 尝 试 获 取 域 内 计 算 机 权 限 后 ， 查 询 域 控 信 息 。 0 x 0 4   一 些 技 巧 一 些 技 巧 1 . 检 测 的 目 标 计 算 机 名 不 正 确 时 ， 报 错 如 下 ： N s l o o k u p   - t y p e = S R V   _ l d a p . _ t c p n l t e s t   / D C L I S T : 域 名 n e t   g r o u p   " D o m a i n   C o n t r o l l e r s "   / d o … … … …
2 . 如 果 不 知 道 目 标 域 的 域 管 用 户 名 ， 可 以 s e c r e t s d u m p . e x e   - n o - p a s s   . / A D C 1 $ @ 1 9 2 . 1 6 8 . 1 7 . 1 5 0   获 取 所 有 用 户 的 h a s h ， 然 后 利 用 r i d 为 5 0 0 的 用 户 进 行 后 续 操 作 ， 或 者 使 用 任 意 用 户 凭 证 通 过 a d f i n d   或 者 p o w e r v i e w 查 询 域 信 息 。 如 果 当 前 计 算 机 在 域 内 的 话 还 可 以 尝 试 使 用 黄 金 票 据 。 3 . 验 证 域 控 密 码 是 否 恢 复 ， 如 果 域 控 h a s h 为 3 1 d 6 c f e 0 d 1 6 a e 9 3 1 b 7 3 c 5 9 d 7 e 0 c 0 8 9 c 0 ， 代 表 未 恢 复 。 本 文 来 自   内 网 知 识 星 球 内 网 知 识 星 球 【 内 网 安 全 攻 防 【 内 网 安 全 攻 防   2 . 0   计 划 】 计 划 】 系 列 文 章 ， 更 多 文 章 请 加 入   内 网 知 识 星 球 内 网 知 识 星 球   共 同 学 习 。 【 内 网 安 全 攻 防 【 内 网 安 全 攻 防   2 . 0   计 划 】 计 划 】
现 在 加 入 星 球 的 同 学 可 以 同 时 学 习 现 在 加 入 星 球 的 同 学 可 以 同 时 学 习 “ 内 网 安 全 攻 防 图 书 配 套 视 频 内 网 安 全 攻 防 图 书 配 套 视 频 ” + “ 内 网 高 级 渗 透 技 术 内 网 高 级 渗 透 技 术 ”   二 套 视 频 教 程 ！ 二 套 视 频 教 程 ！ 内 网 安 全 攻 防 实 战 及 高 级 进 阶 内 网 安 全 攻 防 实 战 及 高 级 进 阶 扫 描 下 方 二 维 码 加 入 扫 描 下 方 二 维 码 加 入 星 球 学 习 星 球 学 习 加 入 后 会 邀 请 你 进 入 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ ， 内 部 微 信 群 永 久 有 效 ！
目 前 目 前 3 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 学 习 更 多 安 全 知 识 加 入 下 列 星 球 学 习 ！      
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理