Lokale Privilegienausweitung Edition von CVE-2021-1675/CVE-2021-34527

Lokale Privilegienausweitung Implementierung des CVE-2021-1675/CVE-2021-34527 (auch bekannt als PrintNightmare). Der Exploit wurde bearbeitet aus der Veröffentlichung von Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370).

Öffnen Sie das Projekt in MSVC und kompilieren Sie es im x64-Release-Modus. Der Exploit findet automatisch UNIDRV.DLL, es sind keine Änderungen im Code erforderlich.

Verwendung

Bei der Ausführung des Exploits müssen Sie den DLL-Pfad als erstes Argument an den Exploit übergeben. Das war's und los!

CVE-2021-1675-LPE.exe PAYLOAD_DLL_PATH

Der Exploit wurde auf dem vollständig aktualisierten Windows Server 2019 Standard getestet.

Cobalt Strike

Nur für die Reflective DLL-Version: Sie müssen den DLL-Pfad in Zeile 111 der Datei main.cpp ändern und dann das Projekt kompilieren. Laden Sie lpe_cve_2021_1675.cna und verwenden Sie den Befehl lpe_cve_2021_1675 zur Ausführung der Reflective DLL.

Gegenmaßnahmen

Deaktivieren Sie den Spooler-Dienst

Stop-Service Spooler
REG ADD  "HKLM\SYSTEM\CurrentControlSet\Services\Spooler"  /v "Start " /t REG_DWORD /d "4" /f

Oder deinstallieren Sie die Druckdienste

Uninstall-WindowsFeature Print-Services

Referenzen

• https://github.com/afwu/PrintNightmare
• https://twitter.com/hackerfantastic/status/1410069557398679552
• https://twitter.com/0gtweet/status/1410150462842544130