CVE-2020-1337 - الزرع الثنائي (تجاوز CVE-2020-1048)

تم الاعتراف ببيليغ هدار (@peleghd) وتومر بار من SafeBreach (@safebreach) من قبل مايكروسوفت بفضل CVE-2020-1048، وهي ثغرة في طابعة ويندوز تسمح برفع الامتيازات على ويندوز 7 والإصدارات الأحدث.

تم الكشف عن بعض التفاصيل من قبل أليكس يونسكو (@aionescu) ويارين شافير (@yarden_shafir) في منشور مدونته الرائعة PrintDemon: Print Spooler Privilege Escalation, Persistence & Stealth (CVE-2020-1048 & more). باستخدام هذه المعرفة، وجدت تجاوزًا للتصحيح باستخدام نقاط الاتصال في ويندوز والروابط الرمزية (تحية لجيمس فورشو @tiraniddo).

كان تقريري مكررًا لأن السبب الجذري تم الإبلاغ عنه سابقًا بواسطة شخص آخر وتم تعيين التقرير بـ CVE-2020-1337، إنه CVE رائع حقًا :-)

يسمح كود C# هذا بوضع DLL ضار في الدليل المحلي C:\windows\system32 ليتم تحميله بواسطة تطبيق أو خدمة معرضة لاختطاف DLL.

منشور المدونة: CVE-2020-1337: رأيي المتواضع; أيضًا باللغة الإسبانية.

كيفية التجميع

استخدم Visual Studio للحصول على ملف ثنائي مستقل. يتم تحقيق السحر باستخدام حزم Nuget التالية:

• NtApiDotNet
• IlMerge 3.0.40
• MSBuild.ILMerge.Task

كيفية الاستخدام

ضع الملف الثنائي وملفك الضار في نفس المسار وقم بتنفيذ الخطوة الأولى:

أعد تشغيل النظام يدويًا وقم بتنفيذ الخطوة الثانية لزرع DLL الخاص بك باسمه النهائي:

شكر وتقدير

• أليكس يونسكو (@aionescu) ويارين شافير (@yarden_shafir)
• بيليغ هدار (@peleghd) وتومر بار
• جيمس فورشو (@tiraniddo)
• BC Security (@BCSecurity1)
• جميع الشركاء الذين ساعدوني في اختبار الإثبات: مارك (@h4ng3r)، إغناسي (@Ny4nyi)، إينياكي (@virtualminds_es) وهيكتور (@3v4Si0N).