tafloh/cve-2019-1388-privilege-escalation--2021-تحليل CVE-2019-1388 المعملي: تصعيد الصلاحيات المحلية الموثق عبر حوارات شهادة UAC في ويندوز على ويندوز 7.
تحليل مختبري لـ CVE-2019-1388: تصعيد صلاحيات محلي موثّق عبر مربعات حوار شهادات Windows UAC على Windows 7.
مختبر تعليمي للأمن السيبراني وتحليل تقني يوثّق CVE-2019-1388—وهي ثغرة تصعيد صلاحيات محلي في مربع حوار الشهادات في Windows تتيح لمستخدم منخفض الصلاحيات الحصول على وصول NT AUTHORITY\SYSTEM.
Guest وAdmin القياسيين)hhupd.exe)، Internet Explorer، Windows Explorer، cmd.exeلاستغلال الثغرة، في البداية نحتاج إلى تسجيل الدخول كمستخدم ضيف (والذي يمتلك أقل الصلاحيات). بعد تسجيل الدخول، افتح موجه الأوامر، وأدخل whoami للتأكد من أننا سجّلنا الدخول كمستخدم ضيف
التحقق من الصلاحيات
بعد التأكيد، افتح Internet Explorer وتصفح لتنزيل الملف التنفيذي (hhupd.exe) من موقع المهاجم ·بعد التنزيل، انقر بزر الماوس الأيمن على الملف التنفيذي وفي الخصائص أزل علامة الويب. وبذلك، يمكن للبرنامج أن يعمل على جميع النظام المحلي. بعد الانتهاء، انقر بزر الماوس الأيمن مرة أخرى واختر Run as Administrator. يؤدي ذلك إلى ظهور مطالبة UAC (User Account Control) على الشاشة.
بما أننا لا نعرف كلمة مرور المسؤول، انقر على show details ثم انقر على الرابط Show information about this publisher’s certificate. فورًا يعرض موقع جهة إصدار الشهادة (Issued by: VeriSign Commercial Software Publishers CA). انقر على ذلك الارتباط التشعبي للانتقال إلى موقع جهة إصدار الشهادة، مما سيبدأ عملية متصفح تعمل بصلاحيات النظام.
أغلق مطالبة UAC وعد إلى سطح المكتب الرئيسي. الآن أصبح المتصفح الجديد مرئيًا لنا. على الرغم من أن الرابط إلى الصفحة لم يعد موجودًا، لا يزال بإمكاننا النقر على الصفحة ثم اختيار save as. في هذه المرحلة، يحدث خطأ غير مقصود. سبب رسالة الخطأ هو أن المتصفح يعمل حاليًا بصلاحيات النظام.
بعد إغلاق الخطأ، ينبغي أن نختار مجلد Windows System 32. بعد الدخول إليه، ينبغي أن نختار command dot exe ثم نفتحه.
الآن لدينا موجه أوامر يعمل، اكتب whoami، واضغط enter للتحقق من NT authority system (nt authority/system).
في النهاية رفعنا الصلاحيات من منخفضة إلى إحدى الصلاحيات القوية (NT Authority). على سبيل المثال، لنرَ كيف سيستخدم المهاجم هذه الثغرة للوصول إلى الملفات من حساب المسؤول. نحتاج إلى الدخول إلى Users في محرك الأقراص C باستخدام cd C:\Users. بعد الدخول إلى مجلد Users، يمكننا الوصول إلى حساب المسؤول باستخدام cd Admin.
بعد الدخول إلى حساب المسؤول، يمكننا عرض الملفات في سطح مكتب المسؤول باستخدام cd Desktop وdir (لعرض الملفات). كما نرى، توجد صورة تُسمى image.jpg على سطح مكتب Admin. سننسخ ملف الصورة هذا من سطح مكتب المسؤول إلى سطح مكتب حساب Guest. يُستخدم الأمر copy image.jpg C:\Users\Guest\Desktop لنسخ ولصق الصورة من Admin إلى حساب Guest.
بالنسبة لهذه الثغرة الأمنية، أصدرت Microsoft المسار الكامل في نوفمبر 2019. ولأن العديد من إصدارات Windows تحتوي على هذه الثغرة، فمن الضروري إبقاء نظام التشغيل محدَّثًا بأحدث التصحيحات (تأكد من فرض صلاحيات المستخدم بشكل صحيح في Windows Certificate Dialog) والتحديثات الأمنية. عندما يستخدم أحدهم الإصدار المصاب من Windows، تأكد من التحديث في أقرب وقت ممكن قبل أن يستغلها أحدهم. يُعدّ تصعيد الصلاحيات عالي الخطورة لأنه بسيط وأسهل في تصعيد الصلاحيات.