CVE-2021-34527 - PrintNightmare LPE (PowerShell)

Caleb Stewart | John Hammond | 1 يونيو 2021

تحديث 2 يونيو 2021: أصدرت Microsoft نشرة استشارية بشأن CVE-2021-34527، ووصفت هذا المعرّف تحديدًا بأنه استغلال ثغرة PrintNightmare. في السابق، كان المجتمع يفترض أن CVE-2021-1675 "كان هو PrintNightmare" لأن تصحيح 8 يونيو لم يحلّ هذه المشكلة. هذا المستودع مطابق للأصلي مع اختلاف اسم CVE فقط.

CVE-2021-34527 ثغرة حرجة في تنفيذ التعليمات البرمجية عن بُعد وتصعيد الامتيازات المحلية، ويُطلق عليها اسم "PrintNightmare".

تم إصدار استغلالات لإثبات المفهوم (Python, C++) لقدرة تنفيذ التعليمات البرمجية عن بُعد، ونسخة C# لتصعيد الامتيازات المحلية. لم نرَ تنفيذًا أصليًا بلغة PowerShell الخالصة، وأردنا أن نجرب تحسين الاستغلال وإعادة صياغته.

يقوم هذا السكربت المكتوب بلغة PowerShell بتنفيذ تصعيد الامتيازات المحلية (LPE) باستخدام تقنية هجوم PrintNightmare.

تم اختبار هذا على Windows Server 2016 وWindows Server 2019.

الاستخدام

إضافة مستخدم جديد إلى مجموعة المسؤولين المحليين افتراضيًا:

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

قم بتوفير حمولة DLL مخصصة، للقيام بأي شيء آخر قد ترغب فيه.

Import-Module .\cve-2021-34527.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

التفاصيل

• لا تتطلب تقنية LPE العمل مع RPC أو SMB عن بُعد، فهي تعمل فقط مع وظائف Print Spooler.
• يضمّ هذا السكربت حمولة مضغوطة بـGZIP ومُرمَّزة بـ Base64 لملف DLL مخصص، تُعدَّل وفقًا للوسائط التي تمررها، لتسهيل إضافة مستخدم جديد إلى مجموعة المسؤولين المحليين.
• يضمّ هذا السكربت طرقًا من PowerSploit/PowerUp للوصول إلى Win32 APIs بطريقة انعكاسية.
• لا تمر هذه الطريقة عبر جميع برامج تشغيل الطابعات للعثور على مسار DLL المناسب -- إنها ببساطة تلتقط أول برنامج تشغيل وتحدد المسار المناسب.