PetitPotam

أداة إثبات المفهوم (PoC) لإجبار مضيفي ويندوز على المصادقة على أجهزة أخرى عبر بروتوكول MS-EFSRPC باستخدام دالة EfsRpcOpenFileRaw أو وظائف أخرى :)

تستخدم الأداة الأنبوب المسمى LSARPC مع الواجهة c681d488-d850-11d0-8c52-00c04fd90f7e لأنها أكثر انتشارًا. لكن من الممكن التشغيل باستخدام الأنبوب المسمى EFSRPC والواجهة df1941c5-fe89-4e79-bf10-463657acf44d. لا تحتاج إلى بيانات اعتماد ضد وحدة تحكم المجال :D

تعطيل خدمة EFS لا يبدو أنه يخفف من "الميزة"

الإصدار بلغة Python يتطلب تثبيت Impacket، بينما تم تنفيذ إثبات المفهوم على ويندوز باستخدام VS 2019 Community. إذا واجهت مشكلة في التجميع، تذكر إضافة Rpcrt4.lib في الرابط. قم بالتجميع في x86.

مستوحى من العمل السابق على MS-RPRN من @tifkin_ و @elad_shamir وآخرين من فريق SpecterOps.

تصحيح غير مكتمل من مايكروسوفت :) https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942

MS-EFSRPC - بروتوكول نظام الملفات المشفرة عن بُعد (EFSRPC) https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-efsr/08796ba8-01c8-4872-9221-1000ec2eff31