CVE-2023-36874 إثبات المفهوم (PoC)

تنفيذ بحثي تعليمي ودفاعي لثغرة CVE-2023-36874، يوضح خلل تصعيد الامتيازات المحلية (LPE) داخل مكوّن الإبلاغ عن أخطاء ويندوز (WER).

⚠️ إخلاء مسؤولية

هذا المستودع والكود المصدري المقدم مخصصان بشكل صارم للأغراض التعليمية والبحث الأمني والتدقيق الدفاعي. لا تقم بتشغيل هذا الكود على أنظمة الإنتاج أو البيئات دون تفويض صريح. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام أو ضرر أو نشاط غير قانوني يتم تنفيذه باستخدام هذه المادة.

---

🔍 نظرة عامة على الثغرة

CVE-2023-36874 هي ثغرة منطقية لتصعيد الامتيازات في Windows Error Reporting (WER).

يمكن للمهاجم منخفض الامتيازات استغلال هذا الخلل من خلال التلاعب بمساحة أسماء مدير الكائنات (Object Manager) في ويندوز. عبر إنشاء ارتباط رمزي مخصص (\??\C:) داخل دليل الجلسة المحلية، يمكن للمهاجم إعادة توجيه طلبات الوصول إلى الملفات الموجهة إلى محرك الجذر.

عندما تقوم خدمة عالية الامتيازات (NT AUTHORITY\SYSTEM) بتشغيل مهام الإبلاغ عن الأخطاء باستخدام واجهات COM محددة غير موثقة (مثل IErcLuaSupport)، فإنها تقوم بشكل غير صحيح بتنفيذ ملفات من المسار المعاد توجيهه. وهذا يسمح بتنفيذ ملف ثنائي يتحكم فيه المستخدم (wermgr.exe) بصلاحيات SYSTEM.

🛠️ هيكل المشروع

• main.cpp — كود المصدر الرئيسي بلغة C++ المسؤول عن إعداد البيئة وإنشاء الارتباط الرمزي لمدير الكائنات والتفاعل مع COM.
• exploit.exe (نائب) — الملف الثنائي للحمولة المستهدفة الذي ستقوم الخدمة المميزة بتشغيله.

---

🚀 بناء المشروع

المتطلبات الأساسية

• Visual Studio 2022 (أو أحدث) مع تثبيت عبء عمل Desktop development with C++.
• نظام التشغيل المستهدف: Windows 10/11 غير محدث أو Windows Server (قبل تحديثات الأمان لشهر يوليو 2023).

الإعداد في Visual Studio

1. افتح Visual Studio وأنشئ مشروع C++ فارغ جديد.
2. أضف main.cpp إلى ملفات المصدر.
3. مهم جدًا: غيّر تكوين البناء من x86 (Win32) إلى x64. يعتمد الاستغلال على تحليل مسار النظام 64-بت.
4. قم ببناء الحل (Ctrl + Shift + B).

---

📊 التدفق التقني وسلوك التنفيذ

عند التنفيذ، يقوم البرنامج بالعمليات التالية خلف الكواليس:

1. تهيئة البيئة: ينشئ مجلدات تقارير وهمية في C:\ProgramData ويجهز بنية دليل معكوسة في C:\Users\Public\test\Windows\System32.
2. اختطاف مدير الكائنات: يستدعي NtCreateSymbolicLinkObject لإعادة توجيه استعلامات محرك الأقراص C: للجلسة المحلية إلى مجلد Public\test المخصص.
3. تفعيل COM: يتصل بخادم COM خارج العملية باستخدام CLSID_ERCLuaSupport.
4. تشغيل التنفيذ: يجبر الخدمة المميزة على تحميل وإرسال التقرير الوهمي عبر SubmitReport(). يحاول النظام تشغيل C:\Windows\System32\wermgr.exe لكن يتم إعادة توجيهه إلى الحمولة.

المخرجات

يعمل الملف الثنائي بصمت في الخلفية.

• إذا نجح التنفيذ، يكون رمز الخروج هو 0 وستعمل حمولتك في سياق NT AUTHORITY\SYSTEM.
• إذا فشل (على سبيل المثال، بسبب عدم توفر المتطلبات الأساسية أو تطبيق تصحيح بالفعل)، سيخرج بالرمز -1.

---

🛡️ المعالجة والتصحيح

تمت معالجة هذه المشكلة رسميًا بواسطة مايكروسوفت في دورة تحديثات يوليو 2023 Patch Tuesday.

للتخفيف من هذه الثغرة وما يشابهها:

• تأكد من أن نظام التشغيل لديك محدث بأحدث تحديثات الجودة التراكمية.
• تأكد من التنفيذ السليم للتحقق من صحة المسارات وتنظيف رموز الانتحال (impersonation tokens) داخل الخدمات المخصصة على مستوى النظام.