UAC-Bypass - DLL-Hijacking

Beschreibung

Dies ist ein PoC zum Umgehen von UAC mittels DLL-Hijacking und Missbrauch der Überprüfung "Trusted Directories".

Zusammenfassung

• Header aus CSV generieren
  • Argumente
• Liste der verwundbaren PE und DLL generieren
  • DLLHijacking.exe
  • Protokolldatei
  • Ausführung
  • Ergebnis
• test.dll
• Quellen

Header aus CSV generieren

Das Python-Skript CsvToHeader.py kann verwendet werden, um eine Header-Datei zu generieren. Standardmäßig wird die CSV-Datei dll_hijacking_candidates.csv verwendet, die hier zu finden ist: dll_hijacking_candidates.csv.

Das Skript prüft für jede portable ausführbare Datei (PE) die folgenden Bedingungen:

• Ob die PE im Dateisystem existiert.
• Im Manifest der PE, ob der requestedExecutionLevel auf einen der folgenden Werte gesetzt ist:
  • asInvoker
  • highestAvailable
  • requireAdministrator
• Im Manifest, ob autoElevate auf true gesetzt ist:
  root@kitploit:~

  <autoElevate>true</autoElevate>
  

• Falls der Benutzer das -c-Argument angegeben hat, prüft das Skript, ob die zu kapernde DLL in der Liste der aus der PE-Tabelle importierten DLLs enthalten ist.

Argumente

> python .\CsvToHeader.py -h
usage: CsvToHeader.py -f [DLL_PATH] -c

CsvToHeader can be used to generate a header file from a CSV.

optional arguments:
  -h, --help      show this help message and exit
  -f  [DLL_PATH]  Path of the csv to convert (default="dll_hijacking_candidates.csv")
  -c              Enable import dll in PE (default=False)
  -v, --version   Show program's version number and exit

Um die Header-Datei zu generieren, können Sie den folgenden Befehl verwenden:

python CsvToHeader.py > dll_hijacking_candidates.h

Liste der verwundbaren PE und DLL generieren

Die verwendeten Dateien sind DLLHijacking.exe und test.dll.

DLLHijacking.exe

DLLHijacking.exe ist die Datei, die verwendet wird, um die Liste der verwundbaren PE zu generieren. Es führt die folgenden Schritte aus:

1. CreateFakeDirectory

   Funktion, die ein Verzeichnis in C:\windows \system32 erstellt.

2. Copy Files in das neue Verzeichnis

   • von C:\windows\system32\[TARGET.EXE] nach C:\windows \system32\[TARGET.EXE]
   • von [CUSTOM_DLL_PATH] nach C:\windows \system32\[TARGET.DLL]

3. Trigger

   Führe die ausführbare Datei aus C:\windows \system32\[TARGET.EXE] aus.

4. CleanUpFakeDirectory

   Funktion, die das in Schritt 1 erstellte Verzeichnis und die Dateien aus Schritt 2 löscht.

5. CheckExploit

   Überprüft den Inhalt der Datei C:\ProgramData\exploit.txt, ob der Exploit erfolgreich war.

Protokolldatei

DLLHijacking.exe generiert immer eine Protokolldatei exploitable.log mit folgendem Inhalt:

• 0 oder 1, um anzuzeigen, ob der Exploit in der Lage war, die UAC zu umgehen.
• Der Name der ausführbaren Datei
• Der DLL-Name

Z.B.

1,computerdefaults.exe,PROPSYS.dll
0,computerdefaults.exe,Secur32.dll

Ausführung

Befehl zum Ausführen:

DLLHijacking.exe [DLL_PATH]

Wenn kein Argument übergeben wird, verwendet das Skript die DLL test.dll, die in der Ressource von DLLHijacking.exe gespeichert ist.

Ergebnis

Getestet auf Windows 10 Pro (10.0.19043 N/A Build 19043).

test.dll

test.dll ist eine einfache dynamische Bibliothek, die verwendet wird, um zu prüfen, ob der Exploit erfolgreich ist. Die DLL erstellt eine Datei C:\ProgramData\exploit.txt mit folgendem Inhalt:

• 0 oder 1, um anzuzeigen, ob der Exploit in der Lage war, die UAC zu umgehen.
• Der Name der ausführbaren Datei
• Der DLL-Name

Diese Datei wird gelöscht, sobald der Exploit abgeschlossen ist.

Quellen:

• https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows
• https://github.com/wietze/windows-dll-hijacking/
• https://github.com/wietze/windows-dll-hijacking/blob/master/dll_hijacking_candidates.csv
• https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e

Rechtlicher Hinweis:

This project is made for educational and ethical testing purposes only. Usage of this software for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws. 
Developers assume no liability and are not responsible for any misuse or damage caused by this program.