搜索

[29049] 2021-07-03_【漏洞验证】我同情假脱机：检测PrintNightmareCVE-2021-34527

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-03_【漏洞验证】我同情假脱机：检测PrintNightmareCVE-2021-34527 【 漏 洞 验 证 】 我 同 情 假 脱 机 ： 检 测   P r i n t N i g h t m a r e   C V E - 2 0 2 1 - 3 4 5 2 7 O t s 安 全   2 0 2 1 - 0 7 - 0 3 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 6   月   2 1   日 星 期 一 ， M i c r o s o f t 更 新 了 先 前 报 告 的 漏 洞   (   C V E - 2 0 2 1 - 1 6 7 5   ) ， 将 其 严 重 性 从 “ 低 ” 提 高 到 “ 严 重 ” ， 并 将 其 对 远 程 代 码 执 行 的 影 响 提 高 。 6   月   2 9   日 ， 星 期 二 ， 一 名 安 全 研 究 人 员 发 布 了 一 个 名 为 P r i n t N i g h t m a r e 的 有 效 概 念 验 证 ， 几 乎 影 响 所 有 版 本 的   W i n d o w s   系 统 。 昨 天 ， 也 就 是   7   月   1   日 ， 微 软 为 这 个 漏 洞 分 配 了 一 个 新 的   C V E ， C V E - 2 0 2 1 - 3 4 5 2 7 。 该 漏 洞 会 影 响   W i n d o w s   系 统 上 默 认 启 用 的   P r i n t   S p o o l e r   服 务 ， 并 允 许 攻 击 者 使 用 低 特 权 用 户 帐 户 欺 骗 此 服 务 安 装 远 程 托 管 的 打 印 驱 动 程 序 。 成 功 的 利 用 有 效 地 允 许 攻 击 者 在 以 系 统 权 限 （ 特 权 升 级 ） 运 行 的 打 印 后 台 处 理 程 序 服 务 的 上 下 文 中 执 行 目 标 系 统 中 的 代 码 （ 远 程 代 码 执 行 ） 。     成 功 利 用 的 先 决 条 件 包 括 ： 在 目 标 系 统 上 启 用 打 印 后 台 处 理 程 序 服 务 与 目 标 系 统 的 网 络 连 接 （ 已 获 得 初 始 访 问 权 限 ） 低 权 限 用 户 （ 或 计 算 机 ） 帐 户 的 哈 希 或 密 码 影 响 影 响 在 最 具 影 响 力 的 情 况 下 ， 攻 击 者 将 能 够 利 用 此 漏 洞 ， 通 过 在 域 控 制 器 上 执 行 恶 意 代 码 ， 将 其 在   A c t i v e   D i r e c t o r y   环 境 中 的 权 限 从 低 权 限 域 用 户 提 升 到 完 全 域 管 理 员 权 限 ， 如 下 所 示 。 成 功 利 用 以 在 域 控 制 器 上 获 取 反 向   M e t e r p r e t e r   s h e l l 由 于 尚 未 发 布 官 方 补 丁 ， S p l u n k   威 胁 研 究 团 队 建 议 立 即 采 取 行 动 ， 使 用 记 录 的 变 通 方 法 来 缓 解 此 漏 洞 。 如 果 您 想 要 一 种 非 常 快 速 的 方 式 来 了 解 您 对 这 个 漏 洞 的 暴 露 程 度 ， 您 可 以 在 您 的 服 务 器 群 中 部 署 通 用 转 发 器 的 情 况 下 这 样 做 。 只 需 启 用 适 用 于   W i n d o w s 的 S p l u n k   附 加 组 件 的 W i n H o s t M o n 输 入 ， 即 可 报 告 每 台 服 务 器 上 的 服 务 状 态 （ 以 下 突 出 显 示 ） ： 然 后 ， 在   W i n H o s t M o n   数 据 中 执 行 搜 索 以 轻 松 显 示 哪 些 服 务 器 启 用 或 运 行 了   P r i n t   S p o o l e r   服 务 。 这 可 用 于 跟 踪 缓 解 进 度 ： # # # # # # #   主 机 监 控 # # # # # # # [ W i n H o s t M o n : / / S e r v i c e ] i n t e r v a l   =   6 0 0 d i s a b l e d   =   0 t y p e   =   S e r v i c e i n d e x = < y o u r   i n d e x >   s o u r c e t y p e = W i n H o s t M o n   s o u r c e = s e r v i c e   D i s p l a y N a m e = " P r i n t   S p o o l e r "   |   s t a t s   v a l u e s ( D i s p l a y N a m e )   a s   D i s p _ N a m e , v a l u e s ( S t a r t M o d e )   a s   S t a r t _ m o d e , v a l u e s ( S t a r t e d )   a s   S t a r t e d , v a l u e s ( S t a t e )   a s   S t a t e   b y   h o s t
我 们 还 鼓 励 采 用 纵 深 防 御 方 法 ， 通 过 检 测 和 监 控 控 制 来 补 充 预 防 工 作 。 这 篇 博 文 描 述 了 网 络 防 御 者 可 以 利 用 的 检 测 机 会 来 识 别 其 环 境 中   C V E - 2 0 2 1 - 3 4 5 2 7   的 成 功 利 用 。 这 些 检 测 是 在 攻 击 范 围 环 境 中 开 发 的 ， 在 该 环 境 中 ， 一 些 已 发 布 的   P O C   重 现 了 漏 洞 利 用 。 该 分 析 侧 重 于   3   个 数 据 源 ： X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - P r i n t S e r v i c e / A d m i n W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - P r i n t S e r v i c e / O p e r a t i o n a l   我 们 还 发 布 了 使 用 针 对 受 害 者 端 点 的 公 开 漏 洞 利 用 生 成 的 a t t a c k _ d a t a   数 据 集 。 安 全 团 队 可 以 利 用 这 些 数 据 集 来 验 证 或 增 强 检 测 安 全 态 势 ， 而 无 需 实 际 复 制 攻 击 。 默 认 情 况 下 可 能 未 启 用 打 印 服 务 日 志 。 要 将 它 们 摄 取 到   S p l u n k ， 可 以 在   i n p u t . c o n f   中 使 用 如 下 类 似 的 配 置 。 P r i n t N i g h t m a r e   的 检 测 S p l u n k   威 胁 研 究 团 队 正 在 发 布 一 个 名 为 “   P r i n t N i g h t m a r e   C V E - 2 0 2 1 - 3 4 5 2 7   ” 的 新 分 析 故 事 ， 以 帮 助 安 全 运 营 中 心   ( S O C )   分 析 师 检 测 成 功 的 利 用 场 景 。 这 个 故 事 包 括 七 个 新 的 和 两 个 现 有 的 检 测 分 析 。   在 这 篇 博 文 中 ， 我 们 将 尽 可 能 提 供 源 类 型 和 数 据 模 型   S P L   搜 索 。 请 注 意 ， 数 据 模 型 搜 索 需 要 符 合   C I M 。   您 可 以 在 G i t H u b 和 S p l u n k b a s e 上 找 到 此 内 容 以 及 其 他 安 全 分 析 故 事 。 在 S p l u n k 的 安 全 基 础 应 用 程 式 也 有 现 在 都 通 过 推 送 更 新 可 用 这 些 检 测 。   S p o o l s v   生 成   R u n d l l 3 2 使 用   r u n d l l 3 2 . e x e   的 子 进 程 检 测   S p o o l s v 。 系 统 门 ： 数 据 模 型 ： [ W i n E v e n t L o g : / / M i c r o s o f t - W i n d o w s - P r i n t S e r v i c e / O p e r a t i o n a l ] d i s a b l e d   =   0 s t a r t _ f r o m   =   o l d e s t c u r r e n t _ o n l y   =   0 c h e c k p o i n t I n t e r v a l   =   5 r e n d e r X m l = f a l s e i n d e x   =   w i n [ W i n E v e n t L o g : / / M i c r o s o f t - W i n d o w s - P r i n t S e r v i c e / A d m i n ] d i s a b l e d   =   0 s t a r t _ f r o m   =   o l d e s t c u r r e n t _ o n l y   =   0 c h e c k p o i n t I n t e r v a l   =   5 r e n d e r X m l = f a l s e i n d e x   =   w i n s o u r c e t y p e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   O R   s o u r c e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   E v e n t I D = 1   p a r e n t _ p r o c e s s _ n a m e = s p o o l s v . e x e   p r o c e s s _ n a m e = r u n d l l 3 2 . e x e       |   s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   b y   C o m p u t e r ,   U s e r ,       p a r e n t _ p r o c e s s _ n a m e ,   p r o c e s s _ n a m e ,   O r i g i n a l F i l e N a m e ,   p r o c e s s _ p a t h ,   C o m m a n d L i n e |   t s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   f r o m   d a t a m o d e l = E n d p o i n t . P r o c e s s e s   w h e r e P r o c e s s e s . p a r e n t _ p r o c e s s _ n a m e = s p o o l s v . e x e   P r o c e s s e s . p r o c e s s _ n a m e = r u n d l l 3 2 . e x e   b y   P r o c e s s e s . d e s t   P r o c e s s e s . u s e r   P r o c e s s e s . p a r e n t _ p r o c e s s   P r o c e s s e s . p r o c e s s _ n a m e   P r o c e s s e s 。 p r o c e s s   P r o c e s s e s . p r o c e s s _ i d   P r o c e s s e s . p a r e n t _ p r o c e s s _ i d
S p o o l s v   可 疑 进 程 访 问 识 别 来 自   S p o o l s v . e x e   的 可 疑 进 程 访 问 事 件 ， 并 授 予 对 目 标 进 程 的 高 权 限 访 问 权 限 。   系 统 门 ： S p o o l s v   可 疑 加 载 的 模 块 根 据 来 自   C V E - 2 0 2 1 - 3 4 5 2 7   使 用 的 特 定 路 径 的   D L L   加 载 ， 识 别 潜 在 的 可 疑 模 块 加 载 到   S p o o l s v . e x e 。 最 小   c o u n t I m g L o a d e d   值 设 置 为   3 ， 因 为 该 漏 洞 将 在 特 定 目 标 文 件 夹 中 同 时 加 载   3   个 模 块 （ u n i d r v . d l l 、 k e r n e l b a s e . d l l   和 可 疑   d l l ） 。   系 统 门 ： S p o o l s v . e x e   编 写 编 写   D L L 检 测 写 入   D L L   的   S p o o l s v . e x e 。 系 统 门 ： 系 统 门 ： 数 据 模 型 ：   s o u r c e t y p e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   O R   s o u r c e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   E v e n t C o d e = 1 0   S o u r c e I m a g e   =   " * s p o o l s v . e x e "   C a l l T r a c e   =   " * W i n d o w s s y s t e m 3 2 s p o o l   D R I V E R S x 6 4 * "   T a r g e t I m a g e   I N   ( " * r u n d l l 3 2 . e x e " ,   " * s p o o l s v . e x e " )   G r a n t e d A c c e s s   =   0 x 1 f f f f f   |   s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   b y   C o m p u t e r   S o u r c e I m a g e     T a r g e t I m a g e   G r a n t e d A c c e s s   C a l l T r a c e   E v e n t C o d e s o u r c e t y p e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   O R s o u r c e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   E v e n t C o d e = 7   I m a g e   = " * s p o o l s v . e x e "   I m a g e L o a d e d = " * W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 * " I m a g e L o a d e d   =   " * . d l l "   |   s t a t s   d c ( I m a g e L o a d e d )   a s   c o u n t I m g l o a d e d   v a l u e s ( I m a g e L o a d e d ) a s   I m g L o a d e d   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   b y   I m a g e   C o m p u t e r E v e n t C o d e   |   w h e r e   c o u n t I m g l o a d e d   > =   3 s o u r c e t y p e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   O R   s o u r c e = X m l W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - S y s m o n / O p e r a t i o n a l   E v e n t I D = 1 1   p r o c e s s _ n a m e = s p o o l s v . e x e   f i l e _ p a t h = " * s p o o l d r i v e r s x 6 4 * "   f i l e _ n a m e =   * . d l l   |   s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   b y     d e s t ,   U s e r I D ,   p r o c e s s _ n a m e ,   f i l e _ p a t h ,   f i l e _ n a m e ,   T a r g e t F i l e n a m e |   t s t a t s   c o u n t   F R O M   d a t a m o d e l = E n d p o i n t . P r o c e s s e s   w h e r e   P r o c e s s e s . p r o c e s s _ n a m e = s p o o l s v . e x e   b y   _ t i m e   P r o c e s s e s . p r o c e s s _ i d   P r o c e s s e s . p r o c e s s _ n a m e   P r o c e s s e s . d e s t   |   r e n a m e   " P r o c e s s e s . * "   a s   *   |   j o i n   p r o c e s s _ g u i d   _ t i m e           [ |   t s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   F R O M   d a t a m o d e l = E n d p o i n t . F i l e s y s t e m   w h e r e F i l e s y s t e m . f i l e _ p a t h = " * s p o o l d r i v e r s x 6 4 * "   F i l e s y s t e m . f i l e _ n a m e = " * . d l l "   b y   _ t i m e   F i l e s y s t e m . d e s t   F i l e s y s t e m . f i l e _ c r e a t e _ t i m e   F i l e s y s t e m . f i l e _ n a m e   F i l e s y s t e m . f i l e _ p a t h           |   r e n a m e   " F i l e s y s t e m . * "   a s   *           |   f i e l d s   _ t i m e   d e s t   f i l e _ c r e a t e _ t i m e   f i l e _ n a m e   f i l e _ p a t h   p r o c e s s _ n a m e   p r o c e s s _ p a t h   p r o c e s s ]  
打 印 后 台 处 理 程 序 无 法 加 载 插 件 打 印 后 台 处 理 程 序 无 法 加 载 插 件 检 测 新 打 印 机 插 件 加 载 失 败 的 时 间 。 阅 读 原 文         |   f i e l d s   _ t i m e   d e s t   f i l e _ c r e a t e _ t i m e   f i l e _ n a m e   f i l e _ p a t h   p r o c e s s _ n a m e   p r o c e s s _ p a t h   p r o c e s s ]   |   d e d u p   f i l e _ c r e a t e _ t i m e   |   t a b l e   d e s t   f i l e _ c r e a t e _ t i m e ,   f i l e _ n a m e ,   f i l e _ p a t h ,   p r o c e s s _ n a m e s o u r c e = " W i n E v e n t L o g : M i c r o s o f t - W i n d o w s - P r i n t S e r v i c e / O p e r a t i o n a l " E v e n t C o d e = 3 1 6   c a t e g o r y   =   " A d d i n g   a   p r i n t e r   d r i v e r "   M e s s a g e   =   " * k e r n e l b a s e . d l l , * "   M e s s a g e   =   " * U N I D R V . D L L , * "   M e s s a g e   =   " * . D L L . * " |   s t a t s   c o u n t   m i n ( _ t i m e )   a s   f i r s t T i m e   m a x ( _ t i m e )   a s   l a s t T i m e   b y   O p C o d e   E v e n t C o d e   C o m p u t e r N a m e   M e s s a g e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理