本文分析了CVE-2020-1472，一个Netlogon特权提升漏洞，CVSS评分为10.0。漏洞源于Netlogon协议加密过程中的AES-CFB8模式错误，允许攻击者通过特定手段重置域控制器密码。利用流程包括POC检测、导出用户凭证、利用NTLM哈希远程登录等。修复建议是及时安装对应操作系统的补丁。
0x01漏洞背景
NetLogon远程协议是一种在Windows 域控上使用的RPC 接口，被用于各种与用户和机器认证相关的任务。最常用于让用户使用NTLM协议登录服务器，也用于NTP响应认证以及更新计算机域密码。
微软MSRC于8月11日发布了Netlogon 特权提升漏洞安全通告。此漏洞CVE编号CVE-2020-1472，CVSS评分:10.0。由Secura公司的Tom Tervoort发现提交并命名为ZeroLogon。
0x02漏洞分析
Netlogon协议使用的是自定义的加密协议来让客户端（加入域的计算机）和服务器（域控制器）向对方证明加密，此共享加密是客户端计算机的HASH账户密码。Netlogon会话由客户端启动，因此客户端和服务器先交换随机的8个字节，客户端和服务器都先将密钥派生函数加密，然后客户端使用此会话密钥用于计算客户端凭据，服务器则重新计算相同的凭证，如果匹配，客户端必须知道计算机密码，因此客户端必须知道会话密钥。
在身份验证握手阶段时，双方可以协商是否加密和加密认证，如果加密被禁用，所有执行重要操作必须仍然包含认证值，也是用会话密钥计算的，该协议的通信流程如下：
攻击过程分析：
由于微软在Netlogon协议中进行AES加密运算过程中，使用了AES-CFB8模式并且错误的将IV设置为全零，这使得攻
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
