CdpSvcLPE

تصعيد الامتيازات المحلي في ويندوز عبر خدمة CdpSvc (اختطاف DLL في مسار SYSTEM القابل للكتابة)

الوصف المختصر:

خدمة Connected Devices Platform (أو CDPSvc) هي خدمة تعمل كـ NT AUTHORITY\LOCAL SERVICE وتحاول تحميل ملف DLL المفقود cdpsgshims.dll عند بدء التشغيل باستدعاء LoadLibrary()، دون تحديد مساره المطلق. لذلك، يمكن اختطاف الـ DLL في مجلد بمسار ترتيب بحث DLL وسنحصل على وصول لعملية أو شيل بصلاحيات NT AUTHORITY\LOCAL SERVICE إذا قمنا باختطاف الـ DLL في مكان قابل للكتابة في مسار SYSTEM مثل C:\python27. ثم قمت بدمجها مع تقنية PrintSpoofer الخاصة بـ @itm4n للحصول على وصول NT AUTHORITY\SYSTEM.

الاستخدام:

1. ابحث عن مسار SYSTEM قابل للكتابة باستخدام acltest.ps1 (مثل C:\python27)
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. انسخ cdpsgshims.dll إلى C:\python27
   
3. أنشئ مجلد C:\temp وانسخ impersonate.bin إلى C:\temp
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. أعد التشغيل (أو أوقف/شغّل CDPSvc كمسؤول)
   
5. ستظهر موجه أوامر بصلاحيات nt authority\system.
   

Youtube: https://youtu.be/Jfxfsc04H5o

\m/ ملاحظة: عندما تحصل على موجه أوامر النظام، أوقف خدمة cdpsvc واحذف ملف dll وملف bin.

بواسطة @404death

المراجع:

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f