搜索

[15853] 2020-09-15_CVE-2020-1472漏洞分析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-09-15_CVE-2020-1472漏洞分析 C V E - 2 0 2 0 - 1 4 7 2 漏 洞 分 析 S n o w 狼   F r e e B u f   2 0 2 0 - 0 9 - 1 5 N e t l o g o n   特 权 提 升 漏 洞 特 权 提 升 漏 洞 ( C V E - 2 0 2 0 - 1 4 7 2 ) 简 要 简 要 ： ： N e t L o g o n   远 程 协 议 是 一 种 在   W i n d o w s   域 控 上 使 用 的   R P C   接 口 ， 被 用 于 各 种 与 用 户 和 机 器 认 证 相 关 的 任 务 。 最 常 用 于 让 用 户 使 用   N T L M   协 议 登 录 服 务 器 ， 也 用 于   N T P   响 应 认 证 以 及 更 新 计 算 机 域 密 码 。 微 软 M S R C 于 8 月 1 1 日   发 布 了 N e t l o g o n   特 权 提 升 漏 洞 安 全 通 告 。 此 漏 洞 C V E 编 号 C V E - 2 0 2 0 - 1 4 7 2 ，   C V S S   评 分 : 1 0 . 0 。 由   S e c u r a   公 司 的   T o m   T e r v o o r t   发 现 提 交 并 命 名 为   Z e r o L o g o n 。 影 响 版 本 号 影 响 版 本 号 ： ： W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1 W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 2 W i n d o w s   S e r v e r   2 0 1 2   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 2   R 2 W i n d o w s   S e r v e r   2 0 1 2   R 2   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 6 W i n d o w s   S e r v e r   2 0 1 6   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r   2 0 1 9 W i n d o w s   S e r v e r   2 0 1 9   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r ,   v e r s i o n   1 9 0 3   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r ,   v e r s i o n   1 9 0 9   ( S e r v e r   C o r e   i n s t a l l a t i o n ) W i n d o w s   S e r v e r ,   v e r s i o n   2 0 0 4   ( S e r v e r   C o r e   i n s t a l l a t i o n ) 漏 洞 时 间 ： 漏 洞 时 间 ： 2 0 2 0 - 0 9 - 1 1 漏 洞 原 理 简 述 漏 洞 原 理 简 述 ： ： 当 攻 击 者 使 用   N e t l o g o n   远 程 协 议   ( M S - N R P C )   建 立 与 域 控 制 器 连 接 的 易 受 攻 击 的   N e t l o g o n   安 全 通 道 时 ， 存 在 特 权 提 升 漏 洞 。 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 在 网 络 中 的 设 备 上 运 行 经 特 殊 设 计 的 应 用 程 序 。 要 利 用 此 漏 洞 ， 未 通 过 身 份 验 证 的 攻 击 者 需 要 将   M S - N R P C   连 接 到 域 控 制 器 ， 以 获 取 域 管 理 员 访 问 权 限 。 漏 洞 原 理 ： 漏 洞 原 理 ：
N e t l o g o n 远 程 协 议 特 别 是 可 以 更 新 域 中 的 密 码 。 R P C 接 口 通 过 T C P 动 态 端 口 分 配 域 控 制 器 的 端 口 映 射 服 务 ， 或 者 通 过 S M B 端 口 4 4 5 。 N e t l o g o n 协 议 使 用 的 是 自 定 义 的 加 密 协 议 来 让 客 户 端 （ 加 入 域 的 计 算 机 ） 和 服 务 器 （ 域 控 制 器 ） 向 对 方 证 明 加 密 ， 此 共 享 加 密 是 客 户 端 计 算 机 的 H A S H 账 户 密 码 。 N e t l o g o n 会 话 由 客 户 端 启 动 ， 因 此 客 户 端 和 服 务 器 先 交 换 随 机 的 8 个 字 节 ， 客 户 端 和 服 务 器 都 先 将 密 钥 派 生 函 数 加 密 ， 然 后 客 户 端 使 用 此 会 话 密 钥 用 于 计 算 客 户 端 凭 据 ， 服 务 器 则 重 新 计 算 相 同 的 凭 证 ， 如 果 匹 配 ， 客 户 端 必 须 知 道 计 算 机 密 码 ， 因 此 客 户 端 必 须 知 道 会 话 密 钥 。 在 身 份 验 证 握 手 阶 段 时 ， 双 方 可 以 协 商 是 否 加 密 和 加 密 认 证 ， 如 果 加 密 被 禁 用 ， 所 有 执 行 重 要 操 作 必 须 仍 然 包 含 认 证 值 ， 也 是 用 会 话 密 钥 计 算 的 。 身 份 验 证 阶 段 客 户 端 和 服 务 器 都 是 用 的 加 密 原 句 在 函 数 中 实 现 生 成 凭 据 为 C o m p u t e L o g O n e C r e d e n t i a l ， 称 为 协 议 规 范 ， 这 个 函 数 接 受 8 字 节 的 输 入 并 通 过 加 密 会 话 对 其 进 行 转 换 产 生 相 等 长 度 输 出 的 k e y ， 假 设 它 不 知 道 会 话 密 钥 将 无 法 计 算 正 确 的 输 出 及 匹 配 的 某 个 输 入 。 这 个 函 数 有 两 个 版 本 ， 基 于 2 D E S 以 及 A E S ， 取 决 于 客 户 端 在 身 份 验 证 期 间 设 置 的 标 志 ， 基 本 上 使 用 的 都 是 A E S 。 A E S 分 组 密 码 需 要 输 入 1 6 个 字 节 并 将 其 置 换 为 大 小 相 等 的 输 出 ， 操 作 模 式 必 须 加 密 较 大 或 较 小 的 输 入 ， 为 了 被 选 中 ， C o m p u t e L o g E n c r e d e n t i a l 利 用 模 糊 的 C F B 8 （ 8 位 密 码 ） 模 式 只 需 转 换 8 个 字 节 ， 这 个 模 式 大 约 是 普 通 模 式 的 1 6 倍 。 A E S - C F B 8 对 明 文 的 每 个 字 节 进 行 加 密 ， 方 法 是 预 先 加 上 前 缀 一 个 1 6 字 节 的 初 始 化 向 量 ， 然 后 将 A E S 应 用 于 I V + 明 文 的 前 1 6 个 字 节 ， 取 A E S 输 出 的 第 一 个 字 节 ， 并 使 用 下 一 个 明 文 字 节 。
A E S - C F B 8 操 作 模 式 的 加 密 说 明 为 了 能 够 加 密 会 话 ， 必 须 指 定 初 始 化 向 量 （ I V ） 引 导 加 密 过 程 ， 这 个 I V 值 必 须 是 唯 一 的 ， 并 为 每 个 单 独 的 随 机 生 成 用 同 一 密 钥 加 密 的 密 文 。 但 是 C o m p u t e L o g O n C r e d d e n t i a l 函 数 定 义 的 I V 是 固 定 的 ， 应 该 由 1 6 零 字 节 组 成 ， 而 A E S - C F B 8 要 求 I V 是 随 机 的 ， 对 2 5 6 个 密 钥 中 的 1 个 将 A E S - C F B 8 加 密 应 用 全 零 字 节 明 文 将 导 致 都 是 零 密 文 。
漏 洞 利 用 ： 漏 洞 利 用 ： 1 . 欺 骗 客 户 端 凭 据 在 于 N e t r S e r v e r R e q C h a l l e n g e 交 换 质 询 调 用 后 ， 客 户 端 通 过 N e t r S e r v e r A u t h e n t i c a t e 3 调 用 ， 并 通 过 一 个 参 数 调 用 C l i e n t C r e d e n t i a l ， 再 通 过 应 用 C o m p u t e L o g o n I n c r e d e n t i a l 的 客 户 端 质 询 上 一 个 请 求 中 发 送 。 一 共 有 2 5 6 个 密 钥 ， 那 么 怎 么 知 道 哪 个 会 话 使 用 了 其 中 的 密 钥 呢 ？ 因 为 无 效 登 录 后 计 算 机 账 户 并 没 有 被 锁 定 ， 可 以 尝 试 多 次 ， 直 到 获 得 准 确 的 密 钥 和 身 份 验 证 成 功 ， 仅 需 要 尝 试 2 5 6 次 即 可 。 2 . 禁 用 加 密 和 加 密 认 证 虽 然 绕 过 身 份 验 证 ， 但 是 我 们 并 不 知 道 会 话 密 钥 的 值 是 什 么 。 由 于 N e t l o g o n 的 传 输 加 密 而 出 现 问 题 机 制 （ “ R P C 加 密 和 加 密 认 证 ” ） ， 它 使 用 一 个 完 全 不 同 的 函 数 ， C o m p u t e L o g E n c r e d e n t i a l 函 数 ， 但 是 对 于 我 们 来 说 ， 认 证 和 加 密 认 证 是 可 选 的 ， 而 且 只 需 不 在 N e t r S e r v e r A u t h e n t i c a t e 3 调 用 即 可 。 默 认 客 户 机 将 服 务 器 未 设 置 此 标 志 时 将 拒 绝 连 接 ， 但 是 服 务 器 不 会 拒 绝 请 求 不 加 密 的 客 户 端 。 3 . 欺 骗 请 求 即 使 禁 用 了 请 求 加 密 ， 每 个 请 求 依 旧 包 含 一 个 验 证 器 值 ， 该 值 通 过 应 用 C o m p u t e L o g o n I n c r e d e n t i a l （ 会 话 密 钥 ） 函 数 的 值 C l i e n t S t o r e d C r e d e n t i a l + 时 间 戳 ， C l i e n t S t o r e d C r e d e n t i a l 是 一 个 递 增 的 值 ， 由 客 户 端 提 供 ， 在 握 手 时 初 始 化 与 C l i e n t C r e d e n t i a l 相 同 的 值 。 此 客 户 端 凭 据 仅 由 零 组 成 ， 因 此 执 行 的 第 一 个 调 用 的 C l i e n t S t o r e d C r e d e n t i a l 为 零 认 证 后 ， 时 间 戳 应 该 包 含 当 前 的 时 间 和 验 证 器 ， 然 而 服 务 器 却 没 有 做 什 么 限 制 ， 这 样 第 一 个 调 用 我 们 只 需 要 提 供 一 个 全 零 的 验 证 器 和 全 零 的 时 间 戳 。 4 . 更 改 A D 和 密 码 现 在 我 们 可 以 像 任 意 客 户 端 发 送 N e t l o g o n 请 求 ， 但 是 自 从 引 入 了 A c t i v e   D i r e c t o r y 许 多 账 户 数 据 库 被 禁 用 ， 无 法 用 来 提 取 凭 证 ， 还 有 一 个 调 用 函 数 是 N e t r S r e v e r P a s s w o r d G e t 允 许 获 取 计 算 机 密 码 的 N T M L   H a s h ， 但 是 是 用 会 话 密 钥 加 密 的 ， 我 们 可 以 利 用 N e t r S e r v e r P a s s w o r d S e t 2 调 用 ， 用 来 设 置 新 的 客 户 端 计 算 机 的 密 码 ， 不 是 h a s h ， 但 是 是 用 会 话 密 钥 加 密 的 ， 继 续 用 全 零 。 N e t l o g o n 协 议 中 的 明 文 密 码 结 构 由 5 1 6 个 字 节 组 成 ， 最 后 四 个 字 节 表 示 密 码 长 度 ， 结 构 中 所 有 字 节 不 是 密 码 的 一 部 分 被 可 以 填 充 任 意 值 ， 如 果 我 们 在 这 里 提 供 5 1 6 个 零 ， 则 将 被 解 密 到 5 1 6 个 零 ， 即 零 长 度 密 码 ， 这 意 味 着 可 以 成 为 任 何 域 中 的 计 算 机 。 如 果 更 改 计 算 机 密 码 ， 目 标 系 统 本 身 仍 将 在 本 地 存 储 原 始 密 码 ， 且 不 能 再 对 域 进 行 身 份 验 证 ， 只 能 通 过 手 动 操 作 重 新 同 步 （ 拒 绝 服 务 漏 洞 ） 。 5 . 提 权 到 管 理 员 我 们 可 以 更 改 计 算 机 的 密 码 时 域 控 制 器 本 身 的 ， 即 使 是 我 们 连 接 的 同 一 个 域 控 制 器 ， 其 中 A D 中 存 储 的 D C 密 码 与 密 码 不 同 存 储 在 本 地 注 册 表 中 H K L M S E C U R I T Y P o l i c y S e c r e t s $ m a c h i n e . A C C ， 但 是 可 能 导 致 D C 不 可 预 知 的 异 常 行 为 ， 但 是 依 旧 可 以 登 录 。 只 需 要 运 行 I m p a c k e t 的 s e c r e t s d u m p 脚 本 就 可 以 让 D C 的 密 码 有 效 ， 这 个 脚 本 会 通 过 域 的 从 域 中 提 取 所 有 用 户 H A S H 复 制 D R S 协 议 ， 包 括 域 管 理 员 H A S H （ 包 括 k r b t g t ， 可 以 用 来 制 作 金 票 ） ， 然 后 用 来 登 录 D C 更 新 电 脑 密 码 注 册 表 ， 就 可 以 令 攻 击 者 成 为 域 管 理 员 。
修 复 建 议 ： 修 复 建 议 ： 1 . 进 行   W i n d o w s   版 本 更 新 并 且 保 持   W i n d o w s   自 动 更 新 开 启 ， 也 可 以 通 过 下 载 下 面 链 接 中 的 软 件 包 ， 手 动 进 行 升 级 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / z h - C N / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 4 7 2 . 开 启 的   D C   的 强 制 模 式 ， 具 体 可 参 考 下 面 的 链 接 进 行 操 作 h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 4 5 5 7 2 2 2 / h o w - t o - m a n a g e - t h e - c h a n g e s - i n - n e t l o g o n - s e c u r e - c h a n n e l - c o n n e c t i o n s - a s s o c 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理