本地计算机上的netlogon服务启动后停止_微软NetLogon权限提升 CVE20201472 漏洞复现...

最新推荐文章于 2023-11-07 12:06:17 发布

weixin_39963744

最新推荐文章于 2023-11-07 12:06:17 发布

阅读量1.4k

点赞数

文章标签：本地计算机上的netlogon服务启动后停止

本文详细介绍了CVE20201472漏洞，该漏洞可能导致本地计算机上的netlogon服务启动后停止。文章涉及影响范围、复现步骤、如何组建域环境、POC验证以及EXP攻击的实施过程，旨在提供学习和研究资料。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文末原文链接可直达博客

简介

NetLogon 远程协议是一种在 Windows 域控上使用的 RPC 接口,被用于各种与用户和机器认证相关的任务。最常用于让用户使用 NTLM 协议登录服务器，也用于 NTP 响应认证以及更新计算机域密码

微软MSRC于8月11日 发布了Netlogon 特权提升漏洞安全通告。此漏洞CVE编号CVE-2020-1472， CVSS 评分:10.0。由 Secura 公司的 Tom Tervoort 发现提交并命名为 ZeroLogon

攻击者使用 Netlogon 远程协议 (MS-NRPC) 建立与域控制器连接的 Netlogon 安全通道时，存在特权提升漏洞。当成功利用此漏洞时，攻击者可无需通过身份验证，在网络中的设备上运行经特殊设计的应用程序，获取域控制器的管理员权限。

影响范围

Windows Server, version 2004 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)

步骤思路

利用EXP置空域控密码-获得用户hash-通过hash取得一个shell-获得机器保存的原hash-通过获得的hash恢复置空域控密码

自行本地组建域环境

POC验证

https://github.com/SecuraBV/CVE-2020-1472

最低0.47元/天解锁文章