2020.11.02今回は、2020/8月頃に報告された、ドメインコントローラーが第三者に乗っ取られる可能性があるZeroLogon(CVE-2020-1472)の脆弱性について、Metasploitを用いて実機検証します。本稿は脆弱性の脅威を示すもので、不正利用を推奨するものではありません。本人の管理下にないマシンに対して実施するなどの行為は、避けるようにお願いします。別のexploit記事は下記に掲載しています。検証手順netbios情報を入手するzerologon攻撃を仕掛けるパスワードハッシュを入手する攻撃対象マシンに侵入するまとめZeroLogon(CVE-2020-1472)概要ZeroLogon問題はNetlogonプロトコルにおける特権昇格の脆弱性で、緊急の深刻度が設定されています。CVSSのスコアは最大の10です。対象サーバーにアクセス可能なマシンがあれば、ドメイン管理者でログインすることで、ドメインコントローラーを乗っ取ることができます。暗号モードの実装上の問題にあります。本来、初期ベクトルは毎回ランダムに作成する必要がありますが、初期ベクトルをオール0で固定する実装になっているため、1/256の確率で生成される暗号データ0となり不正な認証が通ってしまいます。ZeroLogonの原因をわかりやすく解説!で詳しく説明されています。Serverが該当します。特権の昇格の脆弱性を参照してください。対象サーバーは早めに対応することをお勧めします。20.04にツールMetasploitとimpacketを準備しました。macOSを参照してください。Standardを用意しました。パッチが適用されないように、インストール時の更新プログラムは未適用にしています。Directoryをセットアップし、ドメインコントローラーを構築しています。Directory管理者になお、攻撃対象サーバーのIPアドレス172.25.203.80は入手済み、かつドメインコントローラーと通信可能状態とします。netbios情報を入手するサーバーのnetbios情報から、マシン名WIN-OFS3C0UV7JDとドメイン名EVALを入手します。completedzerologon攻撃を仕掛けるzerologon攻撃を仕掛け、マシンアカウントのパスワードをブランクに設定します。completedZeroLogon攻撃パスワードハッシュを入手するsecretsdump.pyでマシンアカウントを利用して、ドメインユーザーAdministratorのパスワードハッシュ(aad...df7)を入手します。攻撃対象マシンに侵入するwmiexec.pyでAdministratorのパスワードハッシュを利用して、ドメインコントローラーにadministratorでログオンできることを確認します。commandsC:\>hostnameWIN-OFS3C0UV7JDC:\>whoamieval\administratorドメインコントローラーにログインログインしたのはドメイン管理者なので、やりたい放題です。まとめ今回は、ZeroLogon(CVE-2020-1472)の脆弱性を用いると、ドメインコントローラーを容易に乗っ取られてしまう可能性があることについて検証してみました。Windowsのサーバー管理者で本CVEの対象OSを管理されている場合、早急にパッチの適用を検討されることを推奨いたします。以上、ZeroLogon(CVE-2020-1472)の脅威についてでした。新しいセキュリティ資格がリリースされました。今回は、この資...セキュリティvolatilityツールの使い方!メモリから何が分かる?メモリフォレンジックツールVolatilityを用いると、メモリから様々な情報を入手することができます。今回は、Windowsのメモリファイルを用いた、解析ツールvolatilityの使い方を紹介します。セキュリティドコモ口座事件!あなたも被害者かも最近ニュースでよく見かけるドコモ口座事件ですが、身近な人に聞くと自分が対象者であるかもしれないということが浸透していないようです。ここでは対象者と対応を記載し、注意喚起したいと思います。セキュリティまだ送る?パスワードzipファイルの配布プロセスとzip解析リモートワークが本格的に普及し始めました。これまで、隣の同僚にファイルをUSBメモリなどで受け渡ししていた方はどの様な手段を取っているのでしょう。今回は、このzipファイルの送付形式について記載します。リモートワー...セキュリティNmap使い方基礎!脆弱性を発見セキュリティを脅かす事件が増大しており、守るためには攻撃側の手口を知っておく必要があります。ここではホスト情報を取得する簡単な方法として、最強といえるポートスキャナーであるnmapの使い方の基礎を紹介します。EC-...セキュリティMSHTMLの脆弱性!CVE-2021-40444にexploit最近Windowsに脆弱性CVE-2021-40444が検出されたことが話題になっています。悪用の攻撃を確認している、とのことで、いったいどの様なものなのか確認してみます。コメントをキャンセルメールアドレスが公開されることはありません。※サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。Studio系2021.02.122021.02.12プロフィールこの記事を書いた人fmtech中学時代からプログラミングしているコンピューター好きです。CISSP「Amazonのアソシエイトとして、当メディアは適格販売により収入を得ています。Studio系2021.02.122021.02.12プロフィールこの記事を書いた人fmtech中学時代からプログラミングしているコンピューター好きです。CISSP「Amazonのアソシエイトとして、当メディアは適格販売により収入を得ています。defined.")}))})();。