CVE-2021-1675 - PrintNightmare: تصعيد الامتيازات المحلية (PowerShell)

Caleb Stewart | John Hammond | 1 يونيو 2021

CVE-2021-1675 هو ثغرة أمنية حرجة تتيح تنفيذ التعليمات البرمجية عن بُعد ورفع الامتيازات محليًا، وتُعرف باسم "PrintNightmare".

تم إصدار أكواد استغلال لإثبات الفكرة (Python, C++) لاستغلال قدرة تنفيذ التعليمات البرمجية عن بُعد، بالإضافة إلى نسخة C# لرفع الامتيازات محليًا. لم نرَ تطبيقًا أصليًا بلغة PowerShell خالصة، وأردنا أن نجرب تحسين الاستغلال وإعادة صياغته.

يقوم هذا السكربت المكتوب بلغة PowerShell برفع الامتيازات محليًا (LPE) باستخدام تقنية هجوم PrintNightmare.

تم اختبار هذا السكربت على Windows Server 2016 وWindows Server 2019.

الاستخدام

إضافة مستخدم جديد إلى مجموعة المسؤولين المحليين افتراضيًا:

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare # add user `adm1n`/`P@ssw0rd` in the local admin group by default

Invoke-Nightmare -DriverName "Xerox" -NewUser "john" -NewPassword "SuperSecure" 

قم بتوفير حمولة DLL مخصصة، لفعل أي شيء آخر قد ترغب به.

Import-Module .\cve-2021-1675.ps1
Invoke-Nightmare -DLL "C:\absolute\path\to\your\bindshell.dll"

التفاصيل

• لا تحتاج تقنية رفع الامتيازات المحلية إلى العمل عبر RPC أو SMB عن بُعد، إذ إنها تعمل فقط مع دوال Print Spooler.
• يضمّن هذا السكربت حمولة DLL مخصصة مضغوطة بـ GZIP ومشفرة بـ Base64، ويتم تعديلها وفقًا للوسائط التي تمررها، لتسهيل إضافة مستخدم جديد إلى مجموعة المسؤولين المحليين.
• يضمّن هذا السكربت طرقًا من PowerSploit/PowerUp للوصول الانعكاسي إلى Win32 APIs.
• لا تمر هذه الطريقة عبر جميع برامج تشغيل الطابعات للعثور على مسار DLL المناسب -- بل تلتقط أول برنامج تشغيل وتحدد المسار المناسب.