CVE-2009-0229-PoC

PoC لثغرة CVE-2009-0229 "ثغرة قراءة الملفات في مؤقت الطباعة" LPE AFR (مرتبطة بـ CVE-2020-1048)

التفاصيل

• المؤلف: Andrei Costin ([email protected])
  • https://twitter.com/costinandrei/
• تاريخ PoC: 2010-xx-xx
• تاريخ الإصدار: 2020-05-14 (تم التذكير/الإلهام من CVE-2020-1048 - نعم، لقد تأخرت كثيراً عن الحفل :D )
• TL;DR
  • إذا كنت تريد ثغرات يوم-صفر، ابحث في النظام الفرعي للطباعة والفاكس في أنظمة التشغيل :) - الكثير من الأكواد القديمة لأسباب تاريخية - هناك ثغرات للجميع =)

ملاحظات

• ملاحظة 1: غير مؤكد - غير متأكد 100% أنها نفس الثغرة التي تسبب CVE-2009-0229

• ملاحظة 2: غير مؤكد - قد تعمل على الأنظمة الأحدث مثل Windows Server 2012 وWindows Server 2016

• ملاحظة 3: جميع إصدارات Windows تأتي مع 4 ملفات "صفحة فاصلة" افتراضية

  • pcl.sep
  • pscript.sep
  • sysprint.sep
  • sysprtj.sep

• ملاحظة 4: هذه الخدعة أقدم من Windows 95 =)، متأكد تماماً أنها استُخدمت من قبل المحترفين "لاستعادة معلومات خفية" ;)

المتطلبات الأساسية

• المهاجم المحلي (غير مسؤول) لديه "صلاحيات إدارة الطابعات"
  • الخيار 1: يمكنه إضافة طابعة جديدة
  • الخيار 2: يمكنه تعديل إعدادات طابعة "عامة على مستوى النظام" (وهذا كثيراً ما يكون الحال)
• الملف "العشوائي" المستهدف للاستخراج ليس لديه إذن "رفض القراءة" صريح
  • من غير المرجح جداً لأن ذلك سيجعل الوصول إلى الملفات للضحية غير عملي/غير قابل للاستخدام

تنفيذ PoC

• يقوم المهاجم المحلي بتكوين أي طابعة لديه حق الوصول إليها بحيث تستخدم ملف "صفحة فاصلة" يوفره المهاجم (attack.sep)، الآن أصبح لدى المهاجم "طابعة مسلحة"

  • انظر "مراجع "صفحة فاصلة" في Windows" أدناه للتفاصيل

• يقوم المهاجم المحلي بصياغة ملف "صفحة فاصلة" (attack.sep) لاستخدام عامل التشغيل "@F"/"$F" على النحو التالي، حيث يُفترض أن الملف المراد استخراجه هو "C:\secret.txt" (لاحظ \ والربط المباشر مع عامل التشغيل @F)

@
@FC:\\secret.txt

• يحتاج المهاجم المحلي إلى طباعة شيء ما باستخدام الطابعة "المسلحة" أعلاه

  • على سبيل المثال، يفتح المهاجم المحلي برنامج "Notepad" ويطبع المستند الفارغ عبر الطابعة التي تم تكوينها أعلاه مع ملف "صفحة فاصلة"
  • يستخدم المهاجم المحلي خيار "الطباعة إلى ملف" (مثل c:\temp\exfiltrated.out) عند الطباعة - توجد ملفات "الطباعة إلى ملف" بصيغة .ps في معظم إصدارات Windows و .xps في الإصدارات الأحدث (http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm)
    • يتم ذلك بحيث لا يذهب محتوى الملف المستخرج إلى الطابعة (على الرغم من أن هذا خيار أيضاً)، بل يصبح متاحاً فوراً للمهاجم

• تحسين الهجوم: يمكن أن يحتوي ملف "صفحة فاصلة" واحد على قائمة تخمين (brute-force) بأكثر مسارات/أسماء الملفات شيوعاً

• يوجد أيضاً عامل التشغيل @L :)

  • انظر مقالتي "PostScript: Danger Ahead?!" https://scholar.google.fr/scholar?oi=bibs&hl=en&q=related:RGJbW-sFP9sJ:scholar.google.com/
  • انظر أيضاً pscript.sep و sysprint.sep

معلومات جانبية

• اكتُشفت في عام 2010 عندما كنت أجري أبحاث/محاضرات "اختراق الطابعات من أجل المتعة والربح"

  • https://www.youtube.com/watch?v=R56ZXErKCeE
  • https://www.youtube.com/watch?v=KrWFOo2RAnk
  • https://www.youtube.com/watch?v=JcfxvZml6-Y
  • http://andreicostin.com/papers/Conf%20-%20EuSecWest2010_AndreiCostin_HackingPrintersForFunAndProfit_full.pdf
  • تم اكتشافها بشكل مستقل عن مُرسل CVE-2009-0229 - حتى اليوم، لم أكن أعرف بوجود CVE-2009-0229 =))، ظننت أنني أجلس على ثغرة يوم-صفر =))

• أنا متأكد تماماً من أن الأنظمة الفرعية للطباعة والفاكس مليئة بالثغرات منذ Windows 3.1 (لأسباب تاريخية)

المراجع الأمنية

• "نشرة الأمان من Microsoft MS09-022 - حرجة"

  • https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-022
  • https://support.microsoft.com/de-ch/help/961501

• CVE-2009-0229

  • https://nvd.nist.gov/vuln/detail/CVE-2009-0229
  • https://vuldb.com/?id.48511

• CVE-2020-1048

  • https://windows-internals.com/printdemon-cve-2020-1048/

مراجع "صفحة فاصلة" في Windows

• هكذا تبدو مربعات حوار "صفحة فاصلة" في إصدارات Windows المختلفة
  • https://www.google.com/search?q=%22Separator+Page%22+windows&source=lnms&tbm=isch
• هكذا تبدو "الطباعة إلى ملف" في بعض إصدارات Windows
  • http://ps-2.kev009.com/pcpartnerinfo/ctstips/e94a.htm
• "صفحة فاصلة" في كتاب "Hands-On Microsoft Windows Server 2016 By Michael Palmer"
  • https://books.google.fi/books?id=zi-dBAAAQBAJ&pg=PA267&lpg=PA267&dq=%22SYSPRTJ.SEP%22+windows+10&source=bl&ots=TUGyElUQdc&sig=ACfU3U0WMpu6Y3EY5vo5MAJxNE04DjRtbg&hl=en&sa=X&ved=2ahUKEwid6arL6LPpAhUPAxAIHaF9AXYQ6AEwA3oECAcQAQ#v=onepage&q=%22SYSPRTJ.SEP%22%20windows%2010&f=false
• "إنشاء صفحات فاصلة مخصصة في Windows Server 2012/2016"
  • https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj149734(v=ws.11)?redirectedfrom=MSDN
• "استخدام صفحة فاصلة عند الطباعة في Windows"
  • https://computingondemand.com/use-a-separator-page-when-printing-in-windows/
• "كيف أقوم بتكوين صفحة فاصلة للطباعة؟"
  • https://www.itprotoday.com/cloud-computing/how-do-i-configure-print-separator-page