CdpSvcLPE

Lokale Windows-Rechteausweitung über den CdpSvc-Dienst (beschreibbarer SYSTEM-Pfad, DLL-Hijacking)

Kurzbeschreibung:

Der Connected Devices Platform Service (oder CDPSvc) ist ein Dienst, der als NT AUTHORITY\LOCAL SERVICE ausgeführt wird und beim Start versucht, die fehlende DLL cdpsgshims.dll mit einem Aufruf von LoadLibrary() zu laden, ohne ihren absoluten Pfad anzugeben. Dadurch kann die DLL im Rahmen der DLL-Suchreihenfolge gekapert werden, und wir erhalten Prozess- oder Shell-Zugriff mit NT AUTHORITY\LOCAL SERVICE, wenn wir die DLL an einem beschreibbaren Ort im SYSTEM-Pfad wie C:\python27 kapern. Anschließend kombiniere ich das mit der PrintSpoofer-Technik von @itm4n, um NT AUTHORITY\SYSTEM-Zugriff zu erhalten.

Verwendung:

1. Finde einen beschreibbaren SYSTEM-Pfad mit acltest.ps1 (z. B. C:\python27)
   C:\CdpSvcLPE> powershell -ep bypass ". .\acltest.ps1"
   
2. Kopiere cdpsgshims.dll nach C:\python27
   
3. Erstelle den Ordner C:\temp und kopiere impersonate.bin nach C:\temp
   C:\CdpSvcLPE> mkdir C:\temp
C:\CdpSvcLPE> copy impersonate.bin C:\temp
   
4. Starte neu (oder stoppe/starte CDPSvc als Administrator)
   
5. cmd öffnet sich mit nt authority\system.
   

Youtube: https://youtu.be/Jfxfsc04H5o

\m/ Hinweis: Sobald du eine System-Eingabeaufforderung erhalten hast, stoppe den cdpsvc-Dienst und lösche die DLL-Datei und die BIN-Datei.

von @404death

Referenzen:

http://zeifan.my/security/eop/2019/11/05/windows-service-host-process-eop.html
https://itm4n.github.io/cdpsvc-dll-hijacking/
https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/
https://github.com/itm4n/PrintSpoofer
https://gist.github.com/wdormann/eb714d1d935bf454eb419a34be266f6f