CVE-2024-43583 - استغلال تصعيد الامتيازات في ويندوز

المؤلف: No0B@ckSappi3 إنستغرام: No0BackSappi3

نظرة عامة

CVE-2024-43583 هو ثغرة تصعيد امتيازات تؤثر على مكوّن Winlogon في مايكروسوفت. استغلال هذا الخلل يسمح لمستخدم منخفض الامتيازات بتصعيد صلاحياته إلى SYSTEM، مما يؤدي إلى اختراق كامل للنظام.

يستخدم هذا المفهوم الإثباتي (PoC) تقنية اختطاف المصحح (Debugger Hijacking) عبر مفتاح التسجيل Image File Execution Options (IFEO) في ويندوز لاستبدال عملية نظام شرعية بحمولة خبيثة.

إصدارات ويندوز المتأثرة

إصدارات ويندوز المتأثرة

Windows 10 (1507 - 22H2) Windows 11 (21H2 - 24H2) Windows Server 2008 SP2 - 2022

⚠️ إخلاء مسؤولية

هذا الاستغلال لأغراض تعليمية وبحثية فقط. لا تستخدمه على أنظمة غير مصرح بها. قد يكون إساءة استخدام هذا الاستغلال غير قانوني.

استخدام الاستغلال

الإعداد

تأكد من تثبيت Python على النظام المستهدف. إذا لم يكن مثبتًا، استخدم النسخة المُجمّعة .exe.

تشغيل الاستغلال

الخيار 1: التشغيل المباشر من مستخدم منخفض الامتيازات

python poc-43583.py

الخيار 2: التشغيل عبر جدولة المهام

1. إنشاء مهمة مجدولة: (تشغيل كمسؤول)
   root@kitploit:~

   schtasks /create /tn "LowPrivExploit" /tr "C:\Path\To\python.exe C:\Path\To\poc-43583.py" /sc once /st 00:00 /ru lowpriv /f
   

2. تشغيل المهمة:
   root@kitploit:~

   schtasks /run /tn "LowPrivExploit"
   

3. تشغيل الاستغلال: افتح إدارة المهام (Ctrl + Shift + Esc). إذا نجح الأمر، ستظهر شل SYSTEM بدلاً من ذلك.

** تحقق من تصعيد الامتيازات**

بمجرد تشغيل الاستغلال، تحقق من صلاحياتك:

whoami

المخرجات المتوقعة:

nt authority\system

🛠️ التنظيف

الطريقة 1: استخدام إثبات المفهوم لاستعادة الإعدادات الافتراضية

أعد تشغيل السكربت واختر الخيار [2] لإزالة الاختطاف.

الطريقة 2: حذف مفتاح التسجيل يدويًا

1. افتح موجه الأوامر كمسؤول.
2. نفّذ:
   root@kitploit:~

   reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe" /f
   

3. حذف المهمة المجدولة (إذا تم استخدامها):
   root@kitploit:~

   schtasks /delete /tn "LowPrivExploit" /f
   

الاكتشاف والتخفيف

• تحقق من وجود مفاتيح Debugger غير متوقعة:
  root@kitploit:~

  reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"
  

• فعّل حماية العبث في Windows Defender لمنع تعديلات التسجيل.
• استخدم حلول EDR/SIEM لكشف تغييرات التسجيل غير المصرح بها.

📝 المراجع

• استشارة أمنية من مايكروسوفت
• دليل تطوير الاستغلال