تجاوز UAC - اختطاف DLL

الوصف

هذا هو إثبات مفهوم (PoC) لتجاوز UAC باستخدام اختطاف DLL وإساءة استخدام التحقق من "الدلائل الموثوقة".

الملخص

• إنشاء الرأس من CSV
  • الوسائط
• إنشاء قائمة PE و DLL القابلة للاختراق
  • DLLHijacking.exe
  • ملف السجل
  • التنفيذ
  • النتيجة
• test.dll
• المصادر

إنشاء الرأس من CSV

يمكن استخدام السكريبت CsvToHeader.py المكتوب بلغة Python لإنشاء ملف رأس. بشكل افتراضي، سيستخدم ملف CSV dll_hijacking_candidates.csv الموجود هنا: dll_hijacking_candidates.csv.

سيتحقق السكريبت من كل ملف تنفيذي محمول (PE) للشروط التالية:

• إذا كان PE موجودًا في نظام الملفات.
• في بيان (manifest) PE، إذا كانت requestedExecutionLevel مضبوطة على إحدى القيم التالية:
  • asInvoker
  • highestAvailable
  • requireAdministrator
• في البيان إذا كان autoElevate مضبوطًا على true:
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• إذا قام المستخدم بتحديد الوسيط -c، سيتحقق السكريبت مما إذا كان DLL المراد اختطافه موجودًا في قائمة DLLs المستوردة من جدول PE.

الوسائط

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader can be used to generate a header file from a CSV.

optional arguments:
  -h, --help      show this help message and exit
  -f  [DLL_PATH]  Path of the csv to convert (default="dll_hijacking_candidates.csv")
  -c              Enable import dll in PE (default=False)
  -v, --version   Show program's version number and exit

لإنشاء ملف الرأس، يمكنك استخدام الأمر التالي:

python CsvToHeader.py > dll_hijacking_candidates.h

إنشاء قائمة PE و DLL القابلة للاختراق

الملفات التي سيتم استخدامها هي DLLHijacking.exe و test.dll.

DLLHijacking.exe

DLLHijacking.exe هو الملف الذي سيتم استخدامه لإنشاء قائمة PE القابلة للاختراق. سيقوم بالخطوات التالية:

1. CreateFakeDirectory

   دالة تقوم بإنشاء مجلد في C:\windows \system32.

2. نسخ الملفات إلى المجلد الجديد

   • من C:\windows\system32\[TARGET.EXE] إلى C:\windows \system32\[TARGET.EXE]
   • من [CUSTOM_DLL_PATH] إلى C:\windows \system32\[TARGET.DLL]

3. التشغيل

   تشغيل الملف التنفيذي من C:\windows \system32\[TARGET.EXE]

4. تنظيف المجلد الوهمي

   دالة تقوم بحذف المجلد الذي تم إنشاؤه في الخطوة 1 والملفات من الخطوة 2.

5. التحقق من الاستغلال

   التحقق من محتوى الملف C:\ProgramData\exploit.txt لمعرفة ما إذا كان الاستغلال ناجحًا.

ملف السجل

سيقوم DLLHijacking.exe دائمًا بإنشاء ملف سجل exploitable.log بالمحتوى التالي:

• 0 أو 1 للإشارة إلى ما إذا كان الاستغلال قادرًا على تجاوز UAC.
• اسم الملف التنفيذي
• اسم DLL

مثال:

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

التنفيذ

الأمر لتشغيله:

DLLHijacking.exe [DLL_PATH]

إذا لم يتم تمرير أي وسيط، سيستخدم السكريبت DLL test.dll المخزنة في موارد DLLHijacking.exe.

النتيجة

تم الاختبار على Windows 10 Pro (10.0.19043 N/A Build 19043).

test.dll

test.dll هي مكتبة ديناميكية بسيطة سيتم استخدامها لمعرفة ما إذا كان الاستغلال ناجحًا. سيقوم DLL بإنشاء ملف C:\ProgramData\exploit.txt بالمحتوى التالي:

• 0 أو 1 للإشارة إلى ما إذا كان الاستغلال قادرًا على تجاوز UAC.
• اسم الملف التنفيذي
• اسم DLL

سيتم حذف هذا الملف بمجرد اكتمال الاستغلال.

المصادر:

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

إخلاء المسؤولية القانونية:

هذا المشروع تم إعداده لأغراض التعليم والاختبار الأخلاقي فقط. استخدام هذه البرامج لمهاجمة أهداف دون موافقة متبادلة مسبقة غير قانوني. 
تقع على عاتق المستخدم النهائي مسؤولية الامتثال لجميع القوانين المحلية والولائية والفيدرالية المعمول بها. 
لا يتحمل المطورون أي مسؤولية ولا يتحملون مسؤولية أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج.